Sommario: Premessa – 1. La nuova disciplina italiana in materia di cyberbullismo: perché sì; 2. Il caso “Vivi down c/ Google” (il fantasma del natale passato) e la normativa di riferimento in Italia ed Europa (il fantasma del natale presente); 3. Conclusioni (il fantasma del natale futuro).
 
Premessa
Tanti anni di onorato servizio quale dirigente presso il Ministero dell’Istruzione, dell’Università e della Ricerca mi hanno reso spettatrice dei grandi cambiamenti sociali che hanno travolto il sistema educativo italiano. Io stessa, vestiti i panni del docente, mi sono trovata a dover illustrare ai miei alunni la correlazione tra i nuovi fenomeni di massa ed i diritti di rango costituzionale. I giovani sono sempre più invischiati nella “tela” del ragno cibernetico, loro primo e confuso maestro, ma, alle volte, anche temibile predatore, ed è per questa ragione che il Legislatore è giunto alla saggia conclusione che l’ordinamento giuridico necessitasse di una disciplina speciale in materia di cyberbullismo. Nell’ambito universitario, mi sono dovuta sempre rivolgere ad una platea molto diversa rispetto a quella di una comunità scolastica, dove sorgono situazioni di stampo para-familiare tanto è pregnante la convivenza quasi giornaliera che impegna bambini e giovani adolescenti tra i banchi. E’ noto, però, che esistono anche famiglie “cattive”, oppure quelle dove i genitori (o chi ne fa le veci) non conoscono i piccoli oscuri segreti dei figli. Mi sono concessa il lusso di dare un incipit differente rispetto al solito a questo elaborato, lasciando i tecnicismi ai paragrafi che verranno a seguire, nel corso dei quali formulerò alcune riflessioni che trovano la loro origine nella mia esperienza professionale e umana, quale madre di due appartenenti alla cd. “generazione Y” o dei “millennial”, composta quasi interamente da internauti per diritto di nascita, che non hanno mai conosciuto un mondo senza Rete. D’altronde l’impostazione per questo articolo me la suggerisce il miglior esempio di giurista che la mia mente possa immaginare, ovvero quello dei Padri Costituenti, che nell’affacciarsi ad un mondo “nuovo”, da inventare e scoprire, diedero vita alla Carta Costituzionale ragionando, in sede assembleare, di diritto e filosofia in termini empirici, memori della vicina esperienza della guerra, che li portò a rifuggire istintivamente ogni diatriba ideologicamente astratta e fine a se stessa.
* * *
1. La nuova disciplina italiana in materia di cyberbullismo: perché sì – La legge 29 maggio 2017, n. 71, pubblicata sulla Gazzetta Ufficiale n. 127 del 3 giugno 2017, secondo le esatte parole del Legislatore “si pone l’obiettivo di contrastare il fenomeno del cyberbullismo in tutte le sue manifestazioni, con azioni a carattere preventivo e con una strategia di attenzione, tutela ed educazione nei confronti dei minori coinvolti, sia nella posizione di vittime sia in quella di responsabili di illeciti, assicurando l’attuazione degli interventi senza distinzione di età nell’ambito delle istituzioni scolastiche”. Il tenore testuale del poc’anzi citato art. 1 suggerisce il carattere programmatico della L. n. 71/2017, che, allo stato, assolve ad  una funzione di tipo cautelare come gli strumenti disciplinati dalla stessa, e preannuncia l’intento del Legislatore di aprire un dialogo con i rappresentanti di istituzioni, comunità scolastiche, e genitori al fine di ideare un piano di azione comune per risolvere un problema di non facile, se non addirittura mirabile, soluzione a causa dell’ampio spettro di situazioni e relative problematiche che possono essere ricomprese nel fenomeno del cyberbullsimo. A riprova di ciò, si consideri come l’art. 1, comma 2, passi in rassegna tutta una serie di comportamenti tipici integranti fattispecie diverse di cyberbullismo, dal “flaming” al “doxing”[1], salvo poi preoccuparsi soltanto di quest’ultima ipotesi stabilendo con il successivo art. 2 che “Ciascun minore ultraquattordicenne, nonché ciascun  genitore  o soggetto esercente la responsabilità del minore che abbia subito taluno degli atti di cui all’articolo  1,  comma 2, della presente legge, può inoltrare al titolare del trattamento o al gestore del sito internet o del social media un’istanza per l’oscuramento, la rimozione o il blocco di qualsiasi altro dato personale del minore, diffuso nella rete internet”. Qualora il destinatario nell’istanza non provveda spontaneamente entro ventiquattro ore da quest’ultima, oppure non sia stato possibile identificarlo, all’interessato ed a chi lo rappresenta è riconosciuto il diritto di rivolgere analoga richiesta al Garante per la protezione dei dati personali, il quale, verificata la sussistenza dei presupposti, interviene a salvaguardia del minore “ai sensi degli articoli 143 e 144 del citato decreto legislativo 30 giugno 2003, n. 196”[2].
In questi termini, è più facile comprendere come la norma introduca uno strumento predisposto prevalentemente a tutela dei dati sensibili del minore, da cui possono discendere ulteriori conseguenze quando alla diffusione degli stessi si accompagnino a precedenti vessazioni, con ricadute negative per la psiche, già sofferente, della vittima (es. si pensi alla pubblicazione su una piattaforma quale Youtube di un video ove viene umiliato un soggetto di cui viene reso noto il nome, e che, pertanto, è maggiormente esposto al pubblico ludibrio oltre che a susseguenti comportamenti offensivi messi in atto da terzi sconosciuti).
Il Legislatore, inoltre, con l’art. 5, comma 1, della Legge in esame, ha optato per l’introduzione di un dovere d’informazione verso i genitori, senza fare distinzione tra quelli della vittima e del bullo, in capo ai dirigenti scolastici, qualora questi vengano a conoscenza di atti di cyberbullismo, e ciò affinché possano concretamente intervenire tutti gli adulti responsabili dei minori coinvolti, e, di comune accordo, adoperarsi per attivare percorsi di sostegno alla vittima e di rieducazione per il bullo medesimo.
Ad affiancare i dirigenti di ogni istituto scolastico nel loro compito di captazione di situazioni a rischio, vi sarà una figura individuata nel corpo dei docenti quale “referente con il compito di coordinare  le iniziative di prevenzione e di contrasto del cyberbullismo, anche avvalendosi della collaborazione delle Forze di polizia nonchè delle associazioni e dei centri di aggregazione giovanile presenti sul territorio” (art. 4, comma 3).
Forse sarebbe stato opportuno delineare un quadro sanzionatorio per i dirigenti ed i referenti scolastici che si dimostrino negligenti verso tali doveri d’informazione e prevenzione, ma, sia sotto un profilo penale che giuslavoristico, ritengo che la magistratura possegga già tutti i mezzi indispensabili per creare giurisprudenza sul punto, il ché non è poco, considerato che la giustizia italiana sta assimilando sempre più i connotati propri dei modelli di common law, riconoscendosi implicitamente, nel principio dello stare decisis.
Non per essere disfattisti, ma il punto è che la differenza non la farà questa Legge, mentre questo arduo compito, soprattutto quello di riempirla di nuovi contenuti, spetterà al tavolo tecnico che dovrà elaborare un piano di azione integrato[3], alle istituzioni (in particolare al dicastero a cui appartengo), nonché alle forme di reciproca collaborazione intessute con i gestori dei più popolari social network.
Molti potrebbero contraddire la valenza strategica che ravvedo nella normativa de quo, magari tacciarmi di ingenuità, eppure il Legislatore, volente o nolente, ha fattivamente avviato un processo storico-giuridico di grande importanza, così come è avvenuto analogamente per il reato di stalking ex art. 612-bis c.p., introdotto con il D.L. 23 febbraio 2009, n. 11, e convertito con legge 23 aprile 2009, n. 38, le cui disposizioni sono state inizialmente a loro volta oggetto di critica in quanto giudicate non adeguate[4]; in verità, nei casi sopracitati l’importante era muovere il primo passo, e non attendere la Grundnorm definitiva e condivisa da tutte le forze politiche, completamente avulsa al sistema parlamentare nostrano ove vigono l’infinita serie di emendamenti e di navette tra Camera e Senato.
In quest’ottica, non scalfisce l’iter logico sinora tracciato neanche un raffronto in termini quantitativi con le risorse finanziarie stanziate dallo Stato, con riferimento agli anni 2017, 2018 e 2019, e consistenti in 50.000 annui per la realizzazione di “periodiche campagne informative di prevenzione e di sensibilizzazione sul fenomeno del cyberbullismo” (art. 3, commi 5 e 7), e di 203.000 annui per “esigenze connesse allo svolgimento delle attività di formazione in ambito scolastico e territoriale finalizzate alla sicurezza dell’utilizzo della rete internet e alla prevenzione e al contrasto del cyberbullismo” (art. 6, comma2).
Tali risorse finanziare sono state giudicate insufficienti a supportare e sopportare la dispendiosità delle misure introdotte dalla L. n. 71/2017 (in particolare per quanto riguarda le istanze di blocco, rimozione, e oscuramento di dati sensibili che, d’ora in avanti, saranno rivolte al Garante della privacy), sennonché è doveroso affermare che l’oggettiva penuria di fondi statali non è un buon motivo per restare nell’immobilità, ma piuttosto una buona ragione per usarle e dosarle sapientemente.
Questo è un onere aggiuntivo che il MIUR, quale coordinatore del piano di azione integrato, nonché responsabile della costituzione delle linee di orientamento per la prevenzione ed il contrasto del bullismo e del cyberbullismo, dovrà prendere in considerazione nell’assolvere ad un “efficace sistema di governance” (art. 4, comma 2) che coinvolga tutte le istituzioni competenti, a partire dalla Polizia postale, per contrastare ogni comportamento antigiuridico rientrante nel novero di cui agli artt. 1 e  2, L. n. 71/2017.
Senza contare che, già con l’art. 11 del D.M. 1^ settembre 2009, n. 663, al fine di “potenziare la rete di supporto per la prevenzione dei fenomeni di bullismo e cyber-bullismo, secondo quanto previsto nella Direttiva del Ministro per l’istruzione, l’università e la ricerca n. 2519 del15 aprile 2015, e per la prevenzione di tali fenomeni nelle scuole, sono (stati stanziati) complessivamente euro 2.000.000,00”, destinati alla creazione di una rete nazionale di istituzioni scolastiche che guidino le attività di prevenzione del fenomeno del bullismo e del cyberbullismo, oltre che di un “piano nazionale di comunicazione, di in-formazione e di sensibilizzazione degli studenti, delle famiglie e di tutte le componenti della comunità scolastica” sul tema in questione[5].
Se proprio bisogna cercare una macchia, per sconfessare ogni immaginabile accusa sulla mia parzialità circa l’argomento che ci impegna, non convince l’istituto dell’ammonimento di cui all’art. 7, come già è stato per il fenomeno dello stalking da cui prende le mosse, rinviando, tra l’altro, proprio alla disciplina del D.L. n. 11/2009, poiché non si ravvede un effetto deflattivo o inibitorio a posteriori nell’azione del “questore (che), assunte se necessario informazioni dagli organi investigativi e sentite le persone informate dei fatti, ove ritenga fondata l’istanza, ammonisce oralmente il soggetto nei cui confronti è stato richiesto il provvedimento, invitandolo a tenere una condotta conforme alla legge”.
Le ragioni sono essenzialmente tre: (i) si ritengono più efficaci le sanzioni previste dal regolamento scolastico (sospensione, espulsione, bocciatura per cattiva condotta) piuttosto che una formale “ramanzina”; (ii) considerata l’alta probabilità di uno scarso risultato a seguito dell’ammonimento, è ingiustificato l’aggravio di lavoro dovuto ai relativi incombenti per il questore; (iii) a conti fatti si sottovaluta il potere della diffusione di contenuti su internet, cui consegue automaticamente che, a titolo esemplificativo, da il singolo bullo X colpevole dell’aggressione originaria, ne nascano innumerevoli altri, persino inconsapevoli, in forza di ogni condivisione del post denigratorio, like, commento, e così via.
I limiti di diffusione di un contenuto su internet non sono in alcun modo ipotizzabili, e c’è chi questo l’ha imparato a sue spese[6], perché qualsiasi cosa venga caricata nel web vi circola e rimane, spesso a dispetto del diritto all’oblio[7].
Per questa ragione, si rivela fallace l’espediente di ancorare all’Uniform Resource Locator (in acronimo URL), ovvero la sequenza di caratteri che identifica univocamente l’indirizzo di una risorsa in Internet (una pagine web in HTML, un’immagine JPEG, etc.), “l’oscuramento, la rimozione o il blocco di qualsiasi altro dato personale del minore”, delimitando così la relativa istanza ai soli contenuti online che ne posseggano uno specifico, quando alcuni social network come Instagram o Snapchat non attribuiscono un URL a foto e video caricati su di essi, e stessa cosa dicasi per le applicazioni di messaggistica istantanea multipiattaforma come Whatsapp.
La verità è che, in questo senso, l’URL è il riferimento statico più comune e attendibile per tracciare una risorsa presente sulla Rete, ma, a mio avviso, un’alternativa altrettanto efficace sarebbe stata quella di colpire direttamente gli account[8], “falcidiando” chiunque si rendesse partecipe della diffusione di dati personali di un minore al fine di irriderlo. Potrà apparire una misura drastica, ma la verità è che, con il tempo, e neanche troppo, la gente inizierebbe (finalmente) a valutare con più attenzione i contenuti che intende condividere sui propri profili, in particolar modo, quando rivestono i connotati tipici della diffamazione[9].
Per non lasciare nulla di intentato, nel prossimo paragrafo dimostrerò la portata innovativa della L. n. 71/2017 nella lotta al cyberbullismo, pur avendo illustrato la sua natura puramente programmatica anziché coercitiva, spostando la nostra analisi in un diverso contesto temporale e territoriale, avvalendomi di una famosa figura allegorica amata dai bambini e creata da Charles Dickens.
* * *
2. Il caso Vivi down c/ Google (il fantasma del natale passato) e la normativa di riferimento in Italia ed Europa (il fantasma del natale presente) – Può apparire scontato affermare che l’unica differenza tra il bullismo storicamente inteso ed il cyberbullismo consista nella sostituzione dell’omertà dei corridoi delle scuole al terribile clamore suscitato su Internet. Può apparire scontato, ma non lo è, tanto su un piano socialmente inteso quanto su quello giuridico. Ad avercelo insegnato è stata sicuramente la celebre controversia “Vivi down c/ Google” originata dalla pubblicazione di un video sulla piattaforma Google Video che mostra alcuni adolescenti, auto-dichiaratisi volontari dell’associazione Vivi Down, intenti ad umiliare ripetutamente e porre in essere numerosi atti vessatori nei confronti di un compagno affetto dalla sindrome di down all’interno di un’area scolastica. Lo sguardo della telecamera e l’esaltazione di essere scoperti dal mondo fa sì che i giovani attori e cineoperatori non si rendano conto dell’enorme gravità del loro gesto, che sarà visibile al mondo dall’8 settembre 2006 (data di upload del video) sino al 7 novembre 2006 (data di rimozione del video).
Questi eventi sono la scaturigine di un procedimento penale che si concluderà con la sentenza 12 aprile 2010, n. 1972 del Tribunale di Milano, Sez. IV penale, che comporterà la condanna a sei mesi di reclusione ai sensi dell’art. 167, D.lgs. n. 167/2003[10], per tre dirigenti di Google Italy S.r.l. (condanna poi sospesa) a causa della insufficiente comunicazione degli obblighi di legge nei confronti degli uploader[11] (i.e. disclaimer privacy), negligenza giudicata ancor più grave perché relativa ad un’attività svolta con finalità di lucro, che vede il content provider[12] “in una posizione ancora più delicata, perché, in qualche modo, contribuisce a creare o comunque a far propri dei dati dallo stesso gestiti, ma, come si è detto e qui si ripete, anche l’Host provider (e cioè il mero intermediario) non è esente da comportamento oggettivamente inquadrabile nella norma (i.e. D.lgs. n. 196/2003), attesa la sua funzione, quantomeno, di diffusore dei dati raccolti”.
Non ha giocato a favore del colosso informatico l’iniziale rifiuto di quest’ultimo di fornire agli inquirenti le informazioni concernenti gli autori del video se non a fronte di un’apposita rogatoria, per poi rilasciarle quando gli uploader erano già stati rintracciati per vie traverse dalla Polizia Giudiziaria.
E’ stato giustamente argomentato, invece, che al webmaster non potesse essere imputato un concorso nel reato di diffamazione ex art. 595 c.p. per assenza del dolo specifico, necessario ad integrare la fattispecie delittuosa.
Il precedente giurisprudenziale de quo ha riscosso un grande risalto mediatico, ma è stato successivamente riformato in grado di appello con l’assoluzione dei tre dirigenti di Google, pronuncia poi confermata dalla Corte di Cassazione che ha statuito come un “mero Internet host provider, soggetto che si limita a fornire una piattaforma sulla quale gli utenti possono liberamente caricare i loro video”, e che, pertanto, “gli unici titolari del trattamento dei dati sensibili eventualmente contenuti nei video caricati sul sito sono gli stessi utenti che li hanno caricati, ai quali soli possono essere applicate le sanzioni, amministrative e penali, previste per il titolare del trattamento del Codice Privacy”[13].
In parole povere, la responsabilità del trattamento dei dati deve essere ricondotta all’uploader del video, anziché al provider di contenuti.
Questa non è la sede opportuna per riaprire un dibattito dottrinale che, a fronte dell’introduzione della Legge in esame, si rivela non più attuale, quanto più per porci il giusto quesito su cosa sarebbe potuto accadere se la L. n. 71/2017 fosse stata vigente all’epoca dei fatti del caso “Vivi down c/ Google”.
In particolare, quali sarebbero state le conseguenze giuridiche per Google Italy S.r.l. se non avesse aderito spontaneamente all’istanza di cui all’art. 2, comma 1, mirata all’ottenimento di, rimozione, blocco o oscuramento del video incriminato entro ventiquattro ore?
A mio avviso, stante l’assenza di un preciso obbligo e di una relativa sanzione in capo al gestore del sito internet o del social media di conformarsi alla suddetta istanza, a partire da adesso, ai webmaster potrà al più ricondursi una forma di responsabilità extracontrattuale ex art. 2043 c.c. per tutti i danni provocati dall’ulteriore ed illecita diffusione dei contenuti antigiuridici successivamente all’infruttuoso decorso del termine di ventiquattro ore dall’invio dell’istanza medesima, e non è certo poco.
In buona sostanza, si può ipotizzare che la mancanza di un tempestivo intervento da parte del webmaster comporti il sorgere di una presunzione di colpa per l’ulteriore diffusione di quel contenuto, sul quale si sarebbe potuti intervenire tempestivamente, laddove questi risulti condiviso in epoca successiva allo scadere delle ventiquattro ore dall’istanza; corresponsabilità del suddetto webmaster con l’uploader che sarà tanto più grave qualora il Garante per la protezione dei dati personali si veda costretto ad assumere i provvedimenti di cui agli artt. 143 e 144 del Codice della Privacy.
Se, quindi, agli internet service provider (ISP) non si può ascrivere un obbligo generale di sorveglianza, che comporti la loro responsabilità per gli illeciti commessi da terzi quando i servizi offerti siano di “mere conduit” (mero trasporto dati), “caching” (memorizzazione temporanea) o “hosting” (allocazione di una risorsa sul web), così come sancito dalla Direttiva sul commercio elettronico numero 2000/13/CE, recepita dal nostro ordinamento con il D.lgs. n. 70/2003[14], resta fermo che questi siano tenuti a dare pronta informazione alle autorità competenti degli illeciti commessi sulla loro porzione di web, ed a condividere tutti i dati necessari per aiutare chi effettua le indagini a rintracciare il colpevole, soprattutto qualora ne venga a conoscenza per il tramite di una segnalazione trasmessagli dal soggetto interessato, o, più propriamente, dalla vittima del trattamento illecito dei propri dati personali[15].
Si aprono, allora, due possibile strade per l’interprete circa il comportamento che deve assumere l’ISP a seguito di una istanza ex art. 2, comma 1, afferente l’illeceità di un contenuto nella sua gestione: (i) informare le autorità competenti (opterei per il Garante della Privacy) ed attendere che siano queste a valutare l’effettiva illiceità del content; (ii) dopo una sommaria valutazione circa la fondatezza delle motivazione dell’istanza, cautelarmente rimuovere, bloccare oppure oscurare il contenuto dandone notizia alle autorità competenti, affinché avviino un’apposita istruttoria di concerto con l’uploader e l’istante.
Chi scrive è da sempre una grande sostenitrice del principio “melius abundare quam deficere”, perciò propenderei per la seconda ipotesi, essendo la più fedele alla ratio legis sottesa all’art. 2, comma 1, e, al contempo, conforme alle disposizioni di cui alla Direttiva sul commercio elettronico.
Soffermandoci approfonditamente su un aspetto comunitario del fenomeno, scopriamo che, secondo uno studio prodotto dalla Comunità Europea[16], la Spagna sarebbe l’unico Stato Membro che prevede un’ipotesi di reato specifica per il cyberbullismo all’art. 172-ter del Código Penal y legislación complementaria, ma, in realtà, la norma in questione concerne la fattispecie delittuosa di “molestie e stalking”[17]. A dire il vero, non c’è alcuno Stato Membro che codifichi i reati di “bullismo” e/o “cyberbullismo”, e per quanto riguarda le fonti comunitarie si rinviene al più la decisione 1351/2008/CE del Parlamento europeo e del Consiglio del 16 dicembre 2008 “relativa a un programma comunitario pluriennale per la protezione dei bambini che usano Internet e altre tecnologie di comunicazione” che, all’art. 2, comma 1, individua le proprie specifiche finalità nella promozione di attività di sensibilizzazione del pubblico sulle opportunità e sui rischi connessi all’uso delle tecnologie in linea, che “saranno volte a ridurre la quantità di contenuti illeciti che circolano in linea e ad affrontare adeguatamente il problema del comportamento dannoso in linea, in particolare concentrandosi sulla distribuzione in linea di materiale pedopornografico, sul grooming e sul bullismo in linea”.
Da tutto questo discorso si comprende come l’Italia possa considerarsi una avanguardista in materia di cyberbullismo, di talché viene spontaneo domandarsi se la ragione dipenda da una particolare sensibilità del nostro Paese verso questa tematica, o da una reale necessità a livello sociale.
* * *
3. Conclusioni (il fantasma del natale futuro) – La nostra vita di tutti giorni si svolge in costante contatto con macchine e dispositivi, è fatta di centinaia di gesti, dalla comunicazione all’azione, da cui emerge quanto le tecnologie siano entrate a far parte della nostra capacità di analisi critica e comportamentale, innescando in ogni nucleo sociale, a partire dalle famiglie, un meccanismo di evoluzione (o deformazione) dei rapporti affettivi e conoscitivi[18].
La tecnologia, ormai, gioca un ruolo fondamentale sul pensiero degli individui e nel processo di formazione delle leggi statali, progettate sulla scorta dell’assunto secondo cui l’azione tecnologica e l’azione morale sono inserite nello stesso campo di forze. Pensiamo a quando siamo posti di fronte a dilemmi morali e siamo chiamati a scegliere tra valori fortemente contrastanti tra loro. Molto spesso la forza del dilemma è data proprio dall’importanza che quei valori contrapposti rivestono per noi stessi, sicché, quando ci troviamo a dover affrontare i malumori del vivere comune, l’introduzione di una nuova tecnologia in grado di alleviare le difficoltà quotidiane (anche la semplice noia) può contribuire in alcuni casi a far sì che un valore abbia maggior forza rispetto ad un altro. E’ per questa ragione che molti di noi, spontaneamente, hanno scelto e scelgono ogni giorno di rinunciare ad una fetta della loro privacy in cambio di un pizzico di autocompiacimento sui cd. social network.
Più in generale, così è stato per la Rete, diventata parte essenziale delle nostre esistenze al punto da farci abbandonare in poco tempo ogni remora nei suoi confronti, e da spingerci ad avere più fiducia in lei che nel mondo che ci circonda, forse perché convinti che la società digitale non abbia influenza sulla vita reale, quando, a conti fatti, è stato aperto il vaso di Pandora, ed ora non sappiamo più come, né se vogliamo, richiuderlo.
Siamo stati spettatori della nascita di un nuovo sistema economico, con le sue regole ed i suoi protocolli, che sopravvive a quello tradizionale in piena agonia.
Alcuni di noi sono diventati vittime di dipendenze non chimiche, ossia non legate ad una specifica sostanza, ma alle comunità di “net gaming” oppure di tipo cybersessuale, per non parlare di chi è caduto preda del cd. “internet segreto” o “deep web” o ancora “dark side of the internet”[19].
C’è persino chi ha iniziato a fidarsi più della verità a buon mercato del nuovo sistema (di Matrix), anziché di quella in possesso di professionisti, scienziati, politici e giornalisti[20].
Tutto questo ci ha portato sino al punto di ipotizzare di poter elevare al rango costituzionale il diritto di accesso alla Rete[21], progetto di cui era un grande fautore lo scomparso Stefano Rodotà, giurista di chiara fama, di cui, però, ammetto di non condividere il pensiero, in quanto ritengo che il diritto di accesso ad internet non abbia bisogno di essere materialmente introdotto nella Carta Costituzionale, potendo essere già ricompreso in numerose norme di carattere generale, e, a mio avviso, non paragonabili per importanza di contenuti[22].
Come anticipato, anche nel panorama giuridico si assiste ad un continuo gioco di pesi e contrappesi tra valori da difendere, e, di recente, di valore molto ne è stato attribuito ad Internet, forse troppo. Così è stato anche per la L. n. 71/2017, fortemente osteggiata nella sua versione originale perché si temeva che potesse ledere il diritto di libertà di espressione in Rete, quando la preoccupazione preminente sarebbe dovuta essere quella di consentire alle nuove generazioni di potersi autodeterminare e formare all’interno delle istituzioni scolastiche in totale sicurezza, come sancito dal combinato disposto di cui agli artt. 34 e 38, comma 1, Cost., così da potersi esprimere prima ancora nella vita reale che su un blog.
La legge sul cyberbullismo mi fa ben sperare per il futuro, perché forse è arrivato il momento di far capire ad Internet, a chi vi naviga ed a chi lo controlla, che questo mare ha le sue regole, e che le sue acque potranno pur essere internazionali, ma che, d’ora in avanti, non saranno più terra di nessuno[23].
 
 

SOMMARIO: 1.- Il problema antico del conflitto tra trasparenza e privacy; 2.- la diversa costruzione normativa del diritto di accesso documentale e di quello civico generalizzato; 3.- L’utilizzo, ancora, della soft law per orientare l’esame delle istanze di accesso civico generalizzato; 4.- la difficile valutazione dell’esistenza di un pregiudizio concreto che imponga il diniego dell’accesso; 5.- Ulteriori criticità della disciplina dell’accesso civico generalizzato; 6.- Considerazioni conclusive.
1.- La prossima entrata in vigore del regolamento europeo sulla protezione dei dati personali (n.679 del 2016) impone alcune riflessioni in ordine all’impatto delle esigenze di tutela della privacy sull’esercizio del diritto di accesso civico generalizzato (d’ora innanzi ACG), per come introdotto con il d.lgs. n.97/2016, che ha modificato il d.lgs. n.33 del 2013.
Si ripropone, in altri termini, seppur con accenti inediti, diversi e, forse, più acuti, il tradizionale tema del conflitto tra il diritto di accesso agli atti amministrativi e le esigenze di riservatezza delle informazioni che riguardano soggetti controinteressati (che ha affaticato dottrina e giurisprudenza fin dall’approvazione della legge n.241 del 1990).
I sicuri approdi ai quali era giunto il dibattito circa l’equilibrio tra i suddetti, confliggenti interessi sono, infatti, destinati a tornare incerti per effetto della progressiva dilatazione degli spazi operativi dell’accesso ai documenti amministrativi e della contestuale ridefinizione della regolazione e della protezione dei dati personali. 
All’originaria fattispecie dell’accesso documentale di cui agli artt.22 e seguenti della legge n.241 del 1990, si sono, poi, aggiunti, l’accesso civico semplice, che serve solo a correggere le inadempienze agli obblighi di pubblicazione, e, da ultimo (con il d.lgs., n.91 del 2016), quello civico generalizzato.
Quest’ultimo istituto, in particolare, rivela, da subito, un’evidente e fisiologica attitudine a invadere la sfera di riservatezza dei soggetti controinteressati alla conoscenza del documento oggetto dell’accesso.
Nella misura, in cui, infatti, il diritto all’ACG risulta attribuito a ogni cittadino, senza necessità che sia titolare di una legittimazione collegata a un interesse qualificato e differenziato, e preordinato a garantire un controllo democratico e diffuso sul corretto esercizio delle pubbliche funzioni, esso si pone in immediata antinomia con le esigenze di protezione dei dati delle persone coinvolte, a qualsiasi titolo, nel documento che si chiede di conoscere.
2.- Sennonchè, mentre la legge del 1990 aveva risolto la predetta aporia con una costruzione normativa lineare e sicura, il decreto legislativo del 2016 ha optato per la diversa, ma meno affidabile, soluzione della soft law (che sembra ormai diventata la panacea di tuti i mali connessi alla regolazione di secondo livello).
Se, infatti, il Legislatore del 1990 aveva autorizzato l’emanazione di regolamenti contenenti la classificazione delle tipologie di atti amministrativi sottratti all’accesso, quello del 2016 si è, invece, limitato a indicare nell’atto legislativo gli interessi, pubblici e privati, che, se implicati dall’ostensione dei documenti richiesti, possono subire un pregiudizio concreto, con conseguente obbligo, in tale situazione, di negare l’accesso, ed ha rinviato a linee guida dell’ANAC la precisazione dei criteri di valutazione del predetto pericolo.
La disciplina normativa dell’ACG risulta, quindi, costruita secondo uno schema (finora) inedito: l’enunciazione nella legge del diritto all’ACG, con l’esplicitazione della sue finalità (art.5, comma 2, d.lgs. n.33 del 2013), l’indicazione, sempre nella fonte primaria, dei limiti al suo esercizio, mediante la sola classificazione nominale e generica, degli interessi che, se concretamente pregiudicati, autorizzano, anzi: impongono, il diniego all’accesso (art.5-bis, commi 1 e 2, d.lgs. n.33 del 2013), e il rinvio a un atto amministrativo, e privo di valenza normativa, quali le linee guida dell’ANAC, d’intesa con il Garante per la protezione dei dati personali, della precisazione dell’ambito operativo delle esclusioni e dei limiti all’ACG (art.5-bis, comma 6, d.lgs. n.33 del 2013).
L’atto legislativo, quindi, omette prescrizioni puntuali circa le fattispecie che costituiscono limitazioni all’ACS e rinvia a un atto amministrativo non vincolante la definizione del perimetro operativo delle generiche clausole escludenti stabilite nella legge.
La scelta della soft law risulta, peraltro, confermata e aggravata dal divieto, per le pubbliche amministrazioni, di classificare, con fonti regolamentari, le tipologie di atti sottratti all’ACG (come precisato dalla circolare n.2/2017 del Ministro per la semplificazione e la pubblica amministrazione, che richiama, a supporto, la riserva di legge contenuta nell’art.10 della CEDU).
La differente costruzione regolativa delle due tipologie di accesso confrontate           (quello documentale e quello civico generalizzato) produce un primo corollario: mentre, a fronte di un accesso documentale, il funzionario deve rispettare un apparato regolatorio chiaro e vincolante, costituito dal combinato disposto della disciplina primaria e di quella secondaria (regolamentare) che classifica le tipologie di atti sottratti all’accesso; nel caso dell’ACG il funzionario deve seguire una serie di istruzioni operative prive di carattere cogente, spesso generiche e, in ogni caso, inidonee a completare in maniera esaustiva la scarna disciplina legislativa con un apparato regolativo univoco e puntuale.
Nonostante l’apprezzabile sforzo esegetico ed esplicativo ivi cristallizzato, le linee guida dell’ANAC (approvate con delibera n.1309 del 28 dicembre 2016) contengono sì, infatti, una serie di indirizzi relativi ai criteri alla cui stregua dev’essere condotto il giudizio sulla sussistenza del pregiudizio concreto per gli interessi classificati dalla legge come sensibili, ma non valgono, tuttavia, a esaurire i canoni  del giudizio di bilanciamento tra i contrapposti interessi e continuano a imporre una valutazione ampiamente discrezionale al funzionario responsabile (per quanto guidata dalle direttive ivi impartite).
L’apprezzamento circa l’esposizione a un pregiudizio concreto degli interessi classificati dalla legge come limitativi dell’ACG resta, in altri termini, e nonostante le linee guida, affidato a un giudizio comparativo rimesso alla responsabilità del funzionario incaricato dell’esame dell’istanza di accesso, senza che le direttive dell’ANAC valgano a ridurre la relativa discrezionalità o a indirizzarla secondo parametri valutativi stringenti e univoci.
E’ sufficiente la lettura della suddetta deliberazione dell’ANAC per avvedersi che, al di là di taluni indirizzi idonei a orientare la scelta inerente il bilanciamento degli interessi confliggenti, il giudizio circa la sussistenza degli estremi dell’ipotesi limitativa contemplata dalla fonte primaria (il pregiudizio concreto per gli interessi ivi censiti come idonei a paralizzare il diritto all’ACG) rimane connotato da un margine di discrezionalità dai confini oltremodo ampli, se non indefiniti.  
3.- Non solo, ma l’intero quadro regolativo di secondo livello si rivela incapace di offrire paradigmi valutativi sicuri e coerenti.  
Se, infatti, le linee guida dell’ANAC forniscono parametri generici, ma, nondimeno, neutri (anche se i limiti all’accesso vengono qualificati come eccezioni e se ne raccomanda un’esegesi restrittiva), la circolare del Ministro per la semplificazione e la pubblica amministrazione (n.2 del 30 maggio 2017), che si occupa perlopiù di definire questioni organizzative, amministrative e procedurali, indica esplicitamente, come principio generale, quello della “tutela preferenziale dell’interesse conoscitivo” (che implica, nei casi dubbi, il dovere di accordare prevalenza all’accesso); ma la valenza di tale criterio generale è stata formalmente ed espressamente contestata dal Garante per la privacy (cfr. provv. n.521 del 15 dicembre 2016; lettera del Presidente del Garante al Ministro per la semplificazione e la pubblica amministrazione e il parere della medesima Autorità n.363 in data 28 agosto 2017), che ha ricordato la pari dignità degli interessi contrapposti, la copertura del diritto alla riservatezza da parte di fonti sovranazionali (art.8 della CEDU e artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione Europea) e la conseguente necessità che il giudizio di bilanciamento sia formulato in esito a una valutazione comparativa neutrale, e non vincolata da criteri preferenziali, del conflitto tra diritti confliggenti di uguale valore (quello alla conoscenza di atti amministrativi e quello alla protezione dei dati personali ivi contenuti).
Da tale confuso compendio di indirizzi contraddittori discende l’ulteriore corollario per cui il funzionario responsabile di esaminare l’istanza di accesso si trova a doverla definire in un tempo molto stretto (e, in particolare, nel termine di 30 giorni, la cui violazione concorre a integrare gli estremi della responsabilità dirigenziale), dovendo compiere un’istruttoria spesso complessa (con il necessario interpello dei controinteressati) e in ossequio a direttive non univoche e che, perciò, lasciano intatto (anzi: aggravano) uno spazio di discrezionalità pressoché illimitato.
Da una parte, infatti, l’ANAC indica canoni valutativi coerenti, ma necessariamente generici; da un’altra parte il Ministro per la semplificazione e la pubblica amministrazione enuncia, come principio generale, quello della preferenza, nel dubbio, per l’interesse alla trasparenza; da un’altra parte ancora il Garante per la privacy chiarisce che, al contrario, il giudizio comparativo deve restare su un piano di bilanciamento di interessi di pari dignità e valore.
Il funzionario incaricato dell’esame e della definizione di un’istanza di ACG che implica la conoscenza di dati o informazioni personali dovrà, quindi, compiere la valutazione circa il pericolo che l’ostensione degli atti richiesti arrechi un pregiudizio concreto ai suddetti interessi, in difetto di indirizzi chiari e puntuali circa i criteri che devono presiedere al pertinente giudizio.
L’anzidetta valutazione si rivela, peraltro, oltremodo problematica e complessa, in quanto non può arrestarsi alla delibazione dell’incidenza dell’accesso sulla sfera di riservatezza dei controinteressati, presidiata dalla normativa sulla privacy, ma deve estendersi fino alla classificazione di quel pregiudizio come concreto e (si intende) idoneo, come tale, a paralizzare le istanze conoscitive sottese alla richiesta di ACG.
Si tratta, in definitiva, di un giudizio sul conflitto tra la trasparenza totale che ha ispirato il FOIA, sul quale si fondano le interpretazioni più evolute di una concezione aperta e controllabile della democrazia (che implica un accesso diffuso agli atti nei quali si esplica il potere), e le esigenze di protezione dei dati personali, che, pure, ricevono tutela dalle convenzioni internazionali e dagli ordinamenti sovranazionali.
La delicatezza estrema di tale conflitto (si direbbe: epocale) non sembra, tuttavia, risolvibile per mezzo della responsabilizzazione totale di un funzionario e mediante strumenti regolativi di (sola) soft law.   
Le stesse aspettative ingenerate dalle formulazioni lessicali delle enunciazioni di principio utilizzate nel d.lgs. n.33 del 2013 sembrano, peraltro, idonee ad aggravare l’antinomia rinvenibile nella legge e le connesse difficoltà applicative.
L’enfasi testuale rintracciabile nelle definizioni di trasparenza e di accesso civico generalizzato come canoni indefettibili e generali del controllo democratico e diffuso dell’esercizio delle pubbliche funzioni se, per un verso, confligge con l’ampia catalogazione delle eccezioni e delle limitazioni (ivi sancite) ai medesimi principi, per un altro ingenera l’idea che spetti al cittadino la conoscenza di tutte le informazioni e i documenti detenuti dalle pubbliche amministrazioni, proprio al fine di consentirgli una consapevole partecipazione al dibattitto pubblico circa la correttezza della gestione della Res Publica.
Sennonchè tali aspettative sono destinate a infrangersi contro le esigenze di protezione delle informazioni personali, sicchè l’approccio enfatico sotteso alle affermazioni relative alla trasparenza totale finisce per generare una delusione che, a ben vedere, con un metodo (di scrittura e di comunicazione) più sobrio sarebbe stata evitata.
4.- In ogni caso, lo scrutinio della spettanza dell’ACG, per quando discrezionale, dev’essere compiuto in esito a una sequenza logica che si articola nelle distinte fasi di seguito indicate.
Dapprima il funzionario deve verificare se l’istanza di ACG implichi o meno il coinvolgimento di uno degli interessi, pubblici o privati, elencati ai commi 2 e 3 dell’art.5-bis del d.lgs. n.33 del 2013 (non dovendo, invece, controllare la legittimazione all’accesso, ormai estesa a ogni cittadino, senza il legame con un interesse qualificato alla conoscenza degli atti richiesti).
Nel caso in cui rilevi l’esistenza di controinteressati, titolari degli interessi censiti al comma 2 dell’art.5-bis, il funzionario dovrà avviare con essi un’interlocuzione procedimentale, al fine di acquisirne la posizione in merito all’ostensione degli atti richiesti (secondo le modalità di cui all’art.5, comma 5).
Una volta esaurita tale fase istruttoria (che non esime l’amministrazione dalla valutazione sull’esistenza del pregiudizio concreto in ipotesi di silenzio dei controinteressati e che la impone, comunque, anche in caso di formalizzazione dell’opposizione all’accesso), il funzionario dovrà compiere una triplice valutazione.
Innanzitutto, deve apprezzare l’esistenza di un pregiudizio concreto alla sfera dei controinteressati e, cioè, la consistenza effettiva del complesso delle conseguenze lesive che deriverebbero dall’ostensione degli atti richiesti.
Tale analisi serve, in particolare, a evidenziare tutti gli effetti negativi che l’accesso produrrebbe nella sfera (non solo) giuridica od economica, (ma anche) morale, relazione e sociale, del controinteressato.
La latitudine della lesione deve, infatti, intendersi estremamente estesa e, come tale, comprensiva di qualsiasi rischio che la conoscenza dei documenti o delle informazioni richiesti appare idoneo a provocare, ivi compresi possibili azioni giudiziarie, rivendicazioni, pretese economiche, discriminazioni, minacce, ritorsioni, rischi di vario genere o furti di identità.
Una volta verificato che l’accesso richiesto rischia di esporre, in concreto, il controinteressato a conseguenze pregiudizievoli, occorre operare un giudizio di bilanciamento tra l’esigenza conoscitiva e la protezione dei dati personali, proprio al fine di verificare che per scongiurare il pregiudizio sia “necessario” negare l’accesso (come testualmente esige la legge).
Lo scrutinio comparativo tra i contrapposti valori andrà condotto alla duplice stregua del canone finalistico e di quello di proporzionalità.
Si dovrà, cioè, verificare se e in che misura la conoscenza degli atti e delle informazioni richiesti serva effettivamente a garantire il controllo sulla correttezza dell’esercizio delle pubbliche funzioni e la consapevole partecipazione del cittadino al dibattito pubblico (restando, comunque, l’ACG funzionale al perseguimento di quegli scopi).
Tale scrutinio deve confermare che l’ACG obbedisce a un’esigenza conoscitiva che presenta rilevanza pubblica e che risulti, quindi, coerente con le finalità dell’istituto, per come consacrata nelle espressioni lessicali utilizzate nell’incpit dell’art.5, comma 2, d.lgs. n.33 del 2013. 
Per quanto la legge non esiga l’esplicitazione della motivazione della richiesta di accesso, deve intendersi implicita la sua rispondenza alla soddisfazione di un interesse che presenti valenza pubblica e che non resti confinato a un bisogno conoscitivo esclusivamente privato, individuale o, addirittura, utilitaristico (come confermato dal parere n.360 del 10 agosto 2017 del Garante per la protezione dei dati personali, che ha stigmatizzato l’interesse esclusivamente commerciale sotteso alla richiesta di accesso a tutte le SCIA e le CILA presentate in un Comune, in un determinato periodo).
Il convincimento che l’accesso sia preordinato alla cognizione delle sole informazioni che rivestono valenza generale resta, peraltro avvalorato dalla giurisprudenza della Corte EDU (Magyar Helsinky Bizottsag v. Ungheria, o novembre 2016, parr.156 e 160-163), che ha chiarito la preordinazione della conoscenza degli atti in possesso delle autorità pubbliche all’esercizio della libertà del richiedente di acquisire e diffondere notizie che attengono a “questioni di interesse pubblico”.
Tale funzione consente, inoltre, di affermare, a contrario, che devono intendersi precluse istanze di accesso meramente strumentali, egoistiche o, peggio, emulative, in quanto si risolvono, a ben vedere, nell’abuso di uno strumento concepito per favorire la consapevole partecipazione del cittadino al dibattito pubblico (e non per ostacolare l’attività amministrativa o, addirittura, per arricchire il solo patrimonio di conoscenze del richiedente).  
Non solo, ma si dovrà anche controllare che l’oggetto dell’istanza conoscitiva rispetti i canoni di necessità, proporzionalità, pertinenza e non eccedenza, già elaborati dalla giurisprudenza (nazionale e sovranazionale) con riferimento al trattamento dei dati personali.
Se la richiesta di ACG realizza le finalità sopra ricordate e non appare “sproporzionata” l’accesso andrà accordato; se, viceversa, pur apparendo coerente con lo scopo dell’istituto, si rivela “eccedente” e irragionevolmente invasiva della sfera di riservatezza garantita ai soggetti controinteressati, occorrerà verificare se le istanze conoscitive possono essere soddisfatte mediante un accesso parziale e, in particolare, per mezzo dell’ostensione del documento, ma con l’oscuramento dei dati personali.  
Se tale opzione è praticabile, andrà senz’altro preferita, in quanto idonea a realizzare, al contempo, l’interesse conoscitivo attivato dal cittadino e a proteggere le informazioni personali dei controinteressati (come si ricava dalla lettura del parere del Garante per la protezione dei dati personali n.363 del 28 agosto 2017, che ha ammesso l’ostensione della dichiarazione sulla insussistenza di incompatibilità ai fini dell’assunzione dell’incarico di commissario straordinario in una procedura di amministrazione straordinaria, raccomandando, tuttavia, l’oscuramento dei dati personali).
Se, invece, l’oscuramento dei dati personali non vale, di per sé, a conservare l’integrità dell’interesse conoscitivo, si dovrà compiere, in via definitiva, il giudizio circa l’esposizione dei controinteressati a un pregiudizio concreto e negare l’ACG quando la sua concessione produrrebbe conseguenze lesive nella loro sfera personale (e quando, appunto il diniego si rivela “necessario” al fine di evitare tale danno).
Nella formulazione di tale valutazione si dovrà tenere conto sia della consistenza e della natura degli interessi privati coinvolti (che imporrà maggiore cautela quando si tratti di interessi afferenti a dati sensibili, giudiziari, genetici, biometrici, sulla localizzazione, sulla solvibilità economica o riguardanti minori), ma anche della posizione (pubblica o meno) ricoperta dal controinteressato (dovendosi accordare maggiore protezione alle persone fisiche che non svolgono funzioni pubbliche e che non possono, quindi, intendersi naturalmente esposte a un controllo diffuso del loro operato).
Come si vede, si tratta di una valutazione complessa, che involge il delicato apprezzamento del conflitto tra due valori parimenti meritevoli di tutela e che avrebbe meritato una diversa attenzione regolativa.
5.- La legislazione esaminata risulta, inoltre, critica anche nella misura in cui è stata deliberata senza il coordinamento, formale e sostanziale, con la disciplina dell’accesso documentale contenuta nella legge n.241 del 1990 e in difetto di un’adeguata ponderazione della capacità amministrativa alla sua puntuale attuazione.
Ogni intervento legislativo dev’essere, in particolare, preceduto, oltre che da un’adeguata analisi di impatto della regolamentazione, dalla previa disamina del corpus normativo nel quale si inserisce, al fine di precisare, nell’intervento regolativo successivo, i rapporti con la normativa vigente.
Ogni nuova legge dovrebbe, in particolare, chiarire le relazioni con la legislazione vigente che regola la medesima materia, al fine di evitare ogni dubbio esegetico sui rapporti tra i due assetti regolatori.
La legge successiva dovrebbe, segnatamente, precisare se le norme precedenti sono abrogate o se continuano ad applicarsi.
Nel primo caso, la questione è risolta.
Nel secondo caso, invece, la legge successiva dovrebbe precisare i vincoli di coesistenza tra i due corpi normativi, operando il necessario coordinamento tra i pertinenti ambiti applicativi, se del caso chiarendo i rapporti di specialità o di deroga tra gli stessi.
Se, invece, l’intervento successivo tace in ordine agli effetti prodotti sulla normativa vigente che regola la stessa materia, si pone un serio problema ermeneutico, che può condurre sia all’opzione interpretativa dell’abrogazione tacita, sia a quella della persistente vigenza della disciplina antecedente, con il conseguente sforzo esegetico del coordinamento tra le due leggi.
Purtroppo il d.lgs. n.33 del 2013 ha trascurato di chiarire gli effetti delle nuove discipline relative all’accesso civico semplice e all’accesso civico generalizzato sulla vigenza e sui persistenti spazi di operatività degli artt. 22 e seguenti della legge n.241 del 1990.
Nel silenzio del legislatore compete, quindi, all’interprete decifrare i non semplici rapporti tra la normativa relativa all’accesso documentale (contenuta nella legge n.241 del 1990) e quella sopravvenuta relativa all’accesso civico (nella duplice fattispecie prevista dal d.lgs. n.33 del 2013) e non vale l’esegesi proposta (peraltro senza indicazioni chiare) nelle linee guida dell’ANAC a risolvere il problema con efficacia vincolante (in considerazione dell’assenza, nel predetto documento, di ogni valenza normativa).
Rispettando i limiti del presente studio (perlopiù dedicato all’analisi dei rapporti tra ACG e tutela della riservatezza), è sufficiente rilevare che appare arduo configurare un’ipotesi di abrogazione tacita della legge del 1990, atteso che le due fattispecie di accesso obbediscono a requisiti e presupposti applicativi diversi, che assolvono funzioni parzialmente differenti, che conservano, quindi, una loro autonoma disciplina, e che, tuttavia, la coesistenza dei due regimi normativi non appare scevra da difficoltà di coordinamento.
Non risultano chiari, in particolare, il perimetro applicativo oggettivo dei due rimedi (e, in particolare, se coincida o se differisca) e la sequenza logica dell’attivazione dei due rimedi, così come sfugge la relazione dell’operatività delle eccezioni contemplate nelle due normative confrontate (quella del 1990 affidata a una classificazione regolamentare degli atti sottratti all’accesso; quella del 2016 delegata a indirizzi non vincolanti dell’ANAC).
Resta a differenziare i due istituti la diversa legittimazione ad attivare i rimedi che, tuttavia, non vale, di per sé, a perimetrare in maniera esatta i confini di efficacia delle due tipologie di accesso.
Basti qui aver rilevato l’esigenza di coordinamento tra le due normative e avere segnalato i più evidenti profili di criticità prodotti dalla coesistenza dei due istituti.
In ordine al secondo aspetto, merita di essere ricordato che ogni riforma che introduce nuovi adempimenti a carico di pubbliche amministrazioni impone la predisposizione di un adeguato apparato organizzativo e di proporzionate dotazioni umane e finanziarie, oltre alla previa valutazione del suo impatto.
Tale verifica, che attiene alla c.d. “capacità amministrativa”, risulta nella specie omessa.
Un’innovazione così radicale, che legittima qualsiasi cittadino a chiedere l’accesso a qualsiasi documento o informazione diversi da quelli soggetti a pubblicazione avrebbe, infatti, imposto una seria disamina dell’idoneità delle dotazioni organizzative esistenti a sopportare il carico di tale nuova funzione.
Inoltre, la rilevanza dell’impatto avrebbe dovuto suggerire un’entrata in vigore sperimentale e differenziata della riforma, al fine di verificare la misura concreta degli effetti della sua attuazione sull’organizzazione amministrativa.
In ogni caso, la rilevanza dell’incidenza dell’ACG sul funzionamento delle pubbliche amministrazioni esige un rigoroso monitoraggio del suo impatto, al fine di rettificare o modificare gli aspetti dell’apparato regolativo che si sono rivelati più critici, oltre che al fine di provvedere a garantire un’adeguata capacità amministrativa, ove dovesse rivelarsi inidonea.  
6.- La disamina che precede ci consegna un sistema regolativo debole e, per certi versi, incoerente, che si fonda, in ultima analisi, su una responsabilizzazione eccessiva del funzionario chiamato a decidere sull’istanza di ACG (soprattutto quando confligge con gli interessi di riservatezza intestati ad altri soggetti).
Il contrasto, per certi versi ineliminabile, tra il principio di trasparenza, su cui si fondano sempre più le democrazie contemporanee, e le esigenze di protezione dei dati personali, in un contesto in cui la relativa sfera risulta esposta a minacce e ingerenze di ogni tipo, postula la definizione normativa di criteri valutativi sufficientemente puntuali e specifici, anche se non esaurienti e risolutivi.
Ma la soluzione dell’antinomia segnalata non può restare affidata a una valutazione (ampiamente) discrezionale, se non libera, di un funzionario, costretto a compierla in tempi strettissimi e in mancanza della guida sicura e affidabile di paradigmi normativi cogenti e precisi. 
Sarebbe stato meglio confermare l’apparato regolativo utilizzato della legge del 1990 (composto dalla fonte primaria e da più regolamenti di attuazione che classificano, con valenza normativa, le tipologie degli atti sottratti all’accesso), secondo uno schema che avrebbe il pregio e l’utilità di assicurare un apparato di regole più chiaro, sicuro e trasparente (appunto) nell’amministrazione dell’ACG.
L’accessibilità totale agli atti e alle informazioni in possesso delle pubbliche amministrazioni garantisce sì, in astratto, un controllo diffuso dell’esercizio del potere pubblico, ma non può essere concepita, intesa e declinata senza una proporzionata protezione delle informazioni personali da un’ingiustificata ed eccessiva invasione della sfera di riservatezza delle persone coinvolte, soprattutto in un contesto storico-tecnologico in cui la privacy appare sempre più indifesa e confinata in spazi angusti (se non inesistenti).
La democrazia implica anche, se non soprattutto, la libertà del cittadino di non essere controllato e schedato (Rodotà), a meno di non voler cedere alle affermazioni (di segno utilitaristico) secondo cui la “privacy è morta” (Zuckerberg).
Ma il diritto (naturale) alle libertà della persona ha una sua forza, che resiste anche alle concezioni più avanzate di una democrazia fondata sulla trasparenza totale e indiscriminata (e che si prestano, tuttavia, a essere strumentalizzate per uno sfruttamento economico dei dati personali detenuti dalle pubbliche amministrazioni).

 
Sommario: 1. La figura della privacy nell’ordinamento statunitense. 2. L’evoluzione della figura della  protezione dei dati personali nel diritto europeo: La Convenzione europea dei diritti dell’uomo e la giurisprudenza della Corte europea dei diritti dell’uomo. 3 La normativa e la giurisprudenza comunitarie. 4. La legge 31 dicembre 1996 n. 675. 5. Il Codice in materia di protezione dei dati personali. 6. Conclusioni.
 
1. La figura della privacy nell’ordinamento statunitense.
                                    
In Italia il processo di giuridificazione della figura della protezione dei dati personali è stato preceduto e condizionato da due importanti esperienze internazionali, quella statunitense e quella comunitaria.
L’esperienza internazionale più risalente, è quella statunitense, che segna l’origine della figura giuridica della privacy e che risale addirittura alla fine dell’ottocento.
La nozione ha avuto origine dottrinale ed è comunemente ricondotta ad un famoso saggio del 1890 di Samuel Warren e Louis D. Brandeis[1].
I due giuristi utilizzano gli strumenti del diritto civile per configurare una nuova posizione soggettiva, che corrisponde alle prerogative possessorie o proprietarie che l’individuo può esercitare sui propri beni materiali, ma ha un oggetto diverso, di carattere immateriale, rappresentato da una sorta di sfera personale inviolabile[2].
Gli autori presuppongono, in maniera apodittica, che la common law consenta già al loro tempo di proteggere questa sfera inviolabile, considerato il fatto che le prerogative proprietarie e possessorie erano già state utilizzate dai giudici per proteggere beni immateriali, quali il diritto di autore o simili[3].
Per ammantare la loro costruzione giuridica con categorie già presenti nell’evoluzione giurisprudenziale statunitense gli autori utilizzano una prerogativa definita dalla Corte Suprema[4] qualche anno prima in termini di right to be let alone e relativa ad una posizione diversa, cioè quella di non essere soggetto a restrizioni della libertà personale prima di una sentenza di colpevolezza, ovvero una sorta di habeas corpus nella dimensione processuale.
Poste queste premesse, il diritto alla privacy si compone, per i nostri autori, di due elementi fondamentali: il diritto a conservare una sfera privata sottratta all’accesso dei terzi; il diritto a mantenere il controllo delle informazioni relative alla stessa sfera privata eventualmente in grado di circolare all’esterno[5].
Da un punto di vista strettamente tecnico il concetto giuridico di privacy viene alla luce come collegato ad un diritto soggettivo da esercitare nelle relazioni interprivate la cui violazione da luogo ad un illecito di carattere civile, in altre parole ad un tort[6].
Da un punto di vista non tecnico l’emersione della figura della privacy è stata vista come la creazione di uno strumento giuridico a disposizione di un nuova classe borghese trovatasi nelle condizioni economiche per rivendicare nuovi spazi di influenza nella dimensione sociale[7].
Un ruolo comunque  subalterno pare avere avuto la diffusione di nuovi strumenti tecnologici nella editoria, quali la stampa con modalità industriali ed i nuovi apparecchi fotografici. Pare possibile affermare che, se l’attacco alla dimensione personale era portato dalla stampa scandalistica, il vero momento di svolta doveva essere stato, non tanto l’introduzione di artifici tecnici, peraltro ancora rudimentali e di limitata diffusione, quanto l’affermarsi di una classe borghese il cui stile di vita doveva suscitare l’interesse della stessa o di altre componenti della società[8].
L’elaborazione giuridica della dottrina del 1890 fu accolta dalla giurisprudenza, ed, in particolare, dalla Corte Suprema della Georgia[9] solo 15 anni dopo la sua elaborazione, e solo dopo un primo rigetto ad opera della Corte di Appello di New York[10].
Acquisito il diritto di cittadinanza nella giurisprudenza, la materia dei diritti riconducibili alla privacy da un lato rimase, per così dire, defilata nelle ricostruzioni teoriche, dall’altro lato non raggiunse un grado accettabile di definizione nei suoi contenuti sostanziali[11].
Per questo, la giurisprudenza diede origine ad un gran numero di sentenze che davano applicazione alla figura giuridica della privacy in maniera differenziata ed eterogenea, attribuendole differenti contenuti e finalità[12]. Ciò determinò una sorta di crisi di rigetto nella dottrina giuridica statunitense, amplificata dal metodo di creazione giuridica della common law che aveva fatto assumere alla figura contorni eterogenei ed indefiniti.
A questo punto, la figura ricevette una nuova sistemazione dottrinale che, se da un lato, riportò chiarezza nei contenuti sostanziali e nuova legittimazione ed utilizzabilità alla privacy, dall’altro, ne ridimensionò grandemente il carattere di materia giuridica autonoma. Infatti, il maggiore esponente della dottrina statunitense in materia di illeciti, nei suoi studi protratti per anni, prese in esame l’amplissima casistica giurisprudenziale in materia di riservatezza e si rese conto che questa poteva essere ricondotta a quattro tipi ben definiti di torts[13]. Questi ultimi, peraltro, nonostante fossero riferiti dai giudici alla figura della privacy, in realtà garantivano la tutela di interessi privati già tutelati dal diritto della common law e indipendenti dall’interesse alla riservatezza, il quale, quindi, risultava solo apparentemente rilevante nelle controversie.
Sulla base di questa ricostruzione le quattro tipologie di casi non recavano alcun denominatore comune se non quello, genericissimo, del diritto to be let alone di ottocentesca memoria, diritto che, peraltro, in questa nuova analisi, non aveva alcun valore ricostruttivo o giuridico[14].
A ciò si aggiunge che questa dottrina avvertiva che le eterogenee prerogative riconducibili alla privacy avrebbero potuto entrare in collisione con le libertà di espressione. Inoltre, mentre tali libertà, nel sistema costituzionale statunitense, erano affermate nei confronti del potere pubblico non trovavano medesima garanzia nei rapporti interprivati. In assenza di norme costituzionali valevoli nelle relazioni civilistiche, non era dato rinvenire altre prescrizioni di specie in grado di conformare per così dire “dall’interno” della disciplina giurisprudenziale o legislativa statale le prerogative di riservatezza, armonizzandole con altre posizioni di libertà. Per questo, i giudici dovevano operare un bilanciamento di interessi “dall’esterno”, cioè tra la disciplina dell’illecito e i principi giuridici  generali tratti dall’ordinamento[15]. Ciò amplificava la loro discrezionalità, assimilandola quasi a quella della amministrazione continentale, e, nel medesimo tempo, produceva una parcellizzazione casistica della disciplina.
In altre parole, la dottrina degli illeciti statunitensi – dopo che la giurisprudenza si era dimostrata non in grado di determinare adeguatamente la figura della privacy – ha cercato di conferire ad essa nuovo diritto di cittadinanza.  Tuttavia, solo apparentemente alla medesima figura è stata attribuita autonomia concettuale, infatti, essa è stata semplicemente ricondotta alla tutela di differenti interessi privati che erano stati consolidati da ben più solida tradizione giuridica.
Questa ricostruzione teorica, anche in considerazione della indiscussa autorità del suo autore, condizionò totalmente sia la trattatistica che produce i cataloghi giurisprudenziali di comune utilizzo per gli stessi giudici, sia le legislazioni statali, e, correlativamente, la successiva giurisprudenza[16].
Naturalmente, non sono mancate posizioni alternative che hanno identificato nella privacy un aspetto della dignità umana e, quindi, una figura unitaria. Tali ricostruzioni, peraltro, non hanno esercitato grande influenza[17].
Ancora oggi, quindi, nella dimensione civilistica statunitense, la figura della privacy, da un lato, rimane ossificata in uno schema che la riconduce ad altre categorie giuridiche, di cui rimane strumentale, dall’altro, manifesta la sua inadeguatezza nel garantire una regolamentazione efficace nei confronti dei nuovi attacchi alla persona portati da strumenti tecnologici ben più potenti di quelli del novecento ed autenticamente in grado, da soli, di imporre la necessità di nuovi strumenti giuridici[18].
Occorre peraltro considerare che, nella seconda metà del secolo scorso, ha avuto origine un differente filone giurisprudenziale costituzionale che ha utilizzato la categoria della privacy non nella sua veste di diritto interprivato, e, correlativamente di illecito civile, ma come libertà fondamentale da esercitare nei confronti del potere pubblico[19].
In primo luogo, il Giudice costituzionale ha affermato che la privacy, intesa come libertà fondamentale nei confronti del potere pubblico, emergeva implicitamente dal combinato disposto di una serie di emendamenti  alla costituzione, i quali, proteggendo varie libertà, facevano emergere “in penombra” una sorta di inviolabilità generale della sfera personale immateriale[20].
Successivamente, la Corte suprema ha rinvenuto il fondamento costituzionale della medesima libertà direttamente nel IV emendamento, affermando che la garanzia di non subire perquisizioni o sequestri non ragionevoli, in esso contenuto, produce i suoi effetti, non solo nei confronti di realtà fisiche, ma anche nei confronti della sfera personale[21]. E’ importante rilevare che lo stesso giudice, mentre tutela la riservatezza, tutela anche la ragionevole aspettativa di libertà da invasioni governative. Ciò può condurre anche ad un limite alla tutela nei casi in cui le attività della persona vengano svolte secondo modalità o in contesti che non facciano ritenere ragionevole la totale impermeabilità da intrusioni altrui[22]. Medesime considerazioni, se la apertura della propria sfera personale risulti volontaria.
Il contenuto di questa libertà, allora, tende ad assumere contorni ampi e ad identificarsi nella piena capacità di operare, senza condizionamenti esterni, le scelte fondamentali della propria vita. In altri termini, quello che nella originaria elaborazione giuridica era rappresentata dalla protezione di una sfera personale inviolabile, diviene, dinamicamente, per un individuo “power to choose and control his world”[23].
Naturalmente questa prerogativa, trasfigurata in una dimensione di libertà costituzionale, viene rivolta essenzialmente nei confronti del pubblico potere.
Da un punto di vista sostanziale tale libertà ha assunto i contenuti più vari: libertà di utilizzo di mezzi  determinati di contraccezione, di avere figli, di contrarre matrimonio, di vivere come famiglia allargata nel medesimo domicilio, di assumere determinate scelte nella educazione dei figli[24].
Se probabilmente la nuova figura di libertà costituzionale non appare ancora determinata in maniera sufficientemente precisa, essa produce l’effetto di fornire una garanzia uniforme sul piano nazionale, superando la frammentazione delle legislazioni e delle corti statali. Inoltre,  l’inclusione della privacy nel quadro delle libertà costituzionali verso il pubblico potere consente l’applicazione di principi costituzionali che operano già all’interno della disciplina costituzionale, mettendo a disposizione dei giudici regole maggiormente consolidate e certe, ma consentendo anche una loro interpretazione evolutiva.
Naturalmente, i modelli di bilanciamento si collocano all’interno della relazione pubblico-privato, ma possono fare emergere soluzioni normative esportabili nella dimensione interprivata[25].
La dottrina, in questo quadro complessivo, ha rilevato la necessità che la figura della privacy andasse incontro ad una nuova fase di evoluzione per divenire strumento maggiormente adeguato nei confronti di nuovi attacchi alla persona portati dalle recenti evoluzioni tecnologiche, non solo riconducibili alla multiforme dimensione dell’internet.
A questo proposito, alcuni hanno auspicato un superamento delle rigide schematizzazioni della teoria dei torts[26], altri hanno auspicato che gli assunti della dottrina privatistica e costituzionalistica potessero convergere, per dotare la privacy di nuove dimensioni contenutistiche[27].
A questo punto, è possibile cogliere alcuni elementi normativi di fondo della figura.
In primo luogo, si tratta di una figura che ha trovato giuridicizzazione in due dimensioni parallele che non hanno ancora trovato una reale convergenza: l’illecito civile e la libertà negativa nei confronti del potere pubblico.
Entrambe le dimensioni paiono tutelare una sfera personale inviolabile in chiave negativa (come isola inviolabile ad opera di soggetti privati e pubblici) ed in chiave positiva (come controllo delle informazioni disseminate che giunge nei rapporti con il potere pubblico come libertà nelle scelte di vita fondamentali).
La tutela della figura implica sempre un bilanciamento di valori o interessi contrapposti, talvolta pubblici, talvolta privati.
La garanzia della autorità dell’individuo sulla sua sfera personale, sia nei rapporti interprivati che in quelli pubblici, fa si che un limite alla protezione della riservatezza possa essere rappresentata dalla diffusione intenzionale o volontaria dei dati in un una dimensione resa in questo modo accessibile (soprattutto nella dimensione interprivata).
La tutela della riservatezza è concepita come evolutiva, cioè sempre da integrare in relazione alle evoluzioni sociali e tecniche.
 
2. L’evoluzione della figura della  protezione dei dati personali nel diritto europeo: La Convenzione europea dei diritti dell’uomo e la giurisprudenza della Corte europea dei diritti dell’uomo
                                                         
I risultati dell’elaborazione giuridica statunitense in materia di tutela della privacy hanno influito in maniera evidente ed uniforme nella dimensione europea[28] soprattutto nella elaborazione di alcune fonti di diritto internazionale, prima fra tutte la Convenzione europea per la tutela dei diritti dell’uomo e delle libertà fondamentali del 1950.
Tuttavia, tali fonti, se da un lato hanno rappresentato il primo passo per una giuridicizzazione su scala europea della protezione della privacy[29], dall’altro, hanno impresso una significativa evoluzione alla figura statunitense, che ha assunto, nella dimensione continentale, tratti peculiari[30].
In ambito europeo, infatti, attraverso fonti internazionali, ha preso corpo gradatamente una figura di protezione della privacy significativamente differente rispetto a quella nata in ambito americano e che ha successivamente assunto i caratteri della protezione dei dati personali o data protection. Proprio la protezione dei dati personali ha successivamente plasmato gli istituti giuridici della normativa comunitaria, i quali, come abbiamo indicato in apertura, rappresentano, insieme alle elaborazioni statunitensi, la seconda e più significativa coordinata all’interno della quale trarrà origine la giuridicizzazione della protezione dei dati personali nell’ordinamento italiano.
Questo processo di rielaborazione della figura della privacy è avvenuto per mezzo di una serie di fonti di diritto internazionale e di interventi della giurisprudenza che possiamo ripercorrere per sommi capi.
Occorre innanzitutto premettere che, secondo la dottrina internazionalistica, la figura statunitense della privacy è stato assunta, fuori dalla dimensione regionale europea, in varie fonti di diritto internazionale come una sorta di concetto sintetico che consente la protezione di vari aspetti della vita dell’individuo (dalla integrità fisica e mentale, dalla sua identità ed intimità, dagli orientamenti sessuali, dalle informazioni personali, la vita familiare, la casa la corrispondenza, l’onore, la reputazione). Valga per tutti l’indicazione dell’art. 12 della Dichiarazione universale dei diritti dell’uomo del 1948: “Nessun individuo potrà essere sottoposto ad interferenze arbitrarie nella sua vita privata, nella sua famiglia, nella sua casa, nella sua corrispondenza, né a lesioni del suo onore e della sua reputazione. Ogni individuo ha diritto ad essere tutelato dalla legge contro tali interferenze o lesioni” ^[31].
Tratteggiata in questi termini la figura di diritto internazionale non appare lontana da quella che abbiamo delineato nella parte precedente, ove assumeva la forma dell’insieme delle condizioni per la realizzazione della propria libertà personale.
Per la medesima dottrina, poi, proprio questa figura di privacy delle fonti di diritto internazionale comprenderebbe al suo interno la realtà più ristretta della “vita privata” quale somma degli aspetti per cosi dire immateriali della vita dell’individuo, quali l’integrità fisica e mentale, la sua identità, la sua intimità, il suo orientamento sessuale e, soprattutto, le sue informazioni personali.
Nella dimensione regionale europea una serie di fonti internazionali hanno enucleato, all’interno della più generale figura della privacy, proprio quest’ultima sub nozione delle “informazioni personali” rendendola oggetto di una specifica e peculiare disciplina, identificabile, appunto, in termini di data protection[32]. In altre parole, soprattutto attraverso le disposizioni della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali – CEDU[33], alla tutela della privacy sono stati attribuiti caratteri ulteriori che hanno condotto la giurisprudenza, ma anche altre fonti di diritto internazionale, a ricostruire un diverso diritto alla protezione dei dati personali  ed una diversa disciplina della data protection.
L’origine di questo processo di enucleazione della protezione dei dati personali dalla più ampia figura della tutela della privacy può essere collocato nella CEDU ed in particolare nel suo art. 8.
Quest’ultima disposizione si articola in due commi. Nel primo viene imposto alle autorità pubbliche l’obbligo positivo di riconoscere ad ogni persona il diritto “al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza”. Nel secondo viene imposto alle autorità pubbliche l’obbligo negativo di astenersi da violazioni della vita privata o familiare, salvi i casi previsti dalla fonte legislativa: “Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui”.
L’art. 8 della CEDU costituisce, in ambito regionale europeo, la prima fonte internazionale dei diritti umani che riconosce giuridicamente il diritto alla privacy[34].
Come ha sottolineato la dottrina “la tutela offerta dall’art. 8, dunque, proprio per il suo duplice carattere positivo e negativo, va ad accogliere una concezione già evoluta del right to privacy, e non quindi la versione originaria, meramente negativa intesa come right to be let alone… propugnata da Warren e Brandeis”[35].
Inoltre, come già anticipato, l’art. 8 CEDU contiene un riconoscimento alla protezione della privacy che reca caratteri particolari rispetto a quella che troviamo nelle fonti internazionali di ambito americano (e universale)[36]. Tali caratteri, da un lato, conducono a futuri sviluppi normativi diretti a configurare il differente istituto della data protection e, dall’altro lato, segnano il contenuto fondamentale dei diritti legati alla medesima protezione dei dati personali.
La dottrina ha posto in luce questi caratteri particolari della protezione della privacy nella CEDU: a) si perde il riferimento espresso alla protezione dell’onore e della reputazione presente nella originaria dimensione statunitense; b) si disciplinano espressamente le interferenze di una autorità pubblica; c) si ammettono solo interventi pubblici nella sfera personale che siano previsti dalla legge e che rispettino alcune specifiche condizioni (mentre le fonti internazionali colpiscono gli interventi “arbitrari”  o “illegittimi” senza alcun riferimento alla assenza di previsione legislativa o alle condizioni legittimanti)[37].
Questa nuova caratterizzazione della tutela della privacy fornisce il contesto normativo ma anche l’impulso per una nuova fase del processo di emersione della figura giuridica della protezione dei dati personali. In ambito europeo, infatti, emerge la necessità, in considerazione del rapido sviluppo tecnologico, di una disciplina uniforme del trattamento  automatizzato dei dati personali, e per questo il Consiglio di Europa adotta la Convenzione n. 108 del 1981[38].
La Convenzione si pone come concretizzazione dell’art. 8 della CEDU con riguardo alla tutela dei diritti relativi al trattamento dei dati personali, ovvero come disciplina di quella particolare subnozione di “vita privata” (a propria volta riconducibile alla più ampia figura della privacy) rappresentata dalle informazioni di carattere personale[39].
Il processo di evoluzione della privacy verso la protezione dei dati personali raggiunge un primo approdo di diritto positivo, infatti, la Convenzione è definita dalla dottrina come il primo strumento giuridico vincolante per gli Stati aderenti in materia, appunto, di data protection, ed anche la prima fonte che pone una sua definizione giuridica come “diritto di ogni individuo (persona fisica) al rispetto della privacy con riferimento al trattamento automatizzato delle informazioni personali”[40].
Sul piano sostanziale, le norme della Convenzione n. 108, all’interno delle coordinate normative dell’art 8 della CEDU, di cui rappresentano una attuazione, contengono una serie di principi giuridici relativi al trattamento dei dati personali (liceità, correttezza della raccolta, sicurezza, aggiornamento, adeguatezza e pertinenza del trattamento rispetto alle finalità, particolari garanzie per i dati sensibili) ed una serie di diritti delle persone interessate. 
Così, se la Convenzione costituisce un passaggio significativo nell’evoluzione della figura della privacy statunitense verso la protezione dei dati personali europea, essa rappresenta anche il “nucleo duro, il minimo comune denominatore della protezione dei dati in Europa, su cui sarà costruita la successiva normazione a livello comunitario”[41].
All’interno delle coordinate rappresentate dall’art. 8 della CEDU e dalla Convenzione n. 108 lo sviluppo concreto dei contenuti della protezione dei dati personali ha avuto luogo essenzialmente attraverso successivi interventi della giurisprudenza della Corte europea dei diritti dell’uomo[42], interventi che rappresentano, per così dire, l’ultima fase del processo di enucleazione della data protection dalla privacy statunitense.
L’azione della Corte è naturalmente proseguita ad affinare i principi della propria giurisprudenza anche contestualmente e successivamente alla entrata in vigore delle normative comunitarie e nazionali, che sono state applicate per formare un patrimonio giuridico unitario e comune in materia di protezione dei dati personali.
Sul piano sostanziale la Corte ha innanzitutto stabilito che le disposizioni dell’art. 8 della CEDU impongono agli Stati l’obbligo di astenersi da interferenze non giustificate dalle condizioni di cui al par. 2 ma anche una serie di obblighi positivi per garantire la effettiva tutela dei diritti[43]. Ciò impone loro di modificare le disposizioni dei rispettivi ordinamenti, ma anche di colmarne le eventuali lacune[44], ed, infine, di intervenire per proteggere i cittadini da interferenze illecite di soggetti privati[45].
La Corte si è occupata, dai primi anni ottanta, delle operazioni di registrazione e trasferimento di dati personali ad opera di autorità pubbliche, affermando che tali attività avrebbero potuto rilevare ai sensi dell’art. 8 CEDU, cioè, avrebbero potuto rappresentare un’interferenza illegittima nella vita privata dei cittadini, a meno che non fossero realizzate in presenza delle condizioni legittimanti del comma 2.
Nella sentenza Leander c. Svezia i giudici hanno affermato che la raccolta di informazioni personali ad opera di autorità di polizia, e la loro conservazione in un dossier segreto anche per il soggetto interessato, possono essere ritenute legittime se previste dalla legge e se preordinate ad un superiore interesse pubblico di sicurezza nazionale[46].
La Corte, quindi, riconduce la raccolta e la conservazione di dati personali alla categoria vita privata dell’art. 8 CEDU      e, correlativamente, valuta la legittimità delle interferenze pubbliche alla luce delle condizioni previste dall’ultima parte della stessa disposizione[47]. In questo modo comincia a configurare una serie di principi di liceità del trattamento collegati ad un ventaglio di interessi pubblici. Correlativamente, afferma la presenza di diritti dell’interessato ad un corretto trattamento dei propri dati da esercitarsi nei confronti del potere pubblico, diritti non incondizionati, ma il cui esercizio è subordinato alla realizzazione di interessi collettivi[48].
Successivamente, la Corte ha ampliato l’ambito delle informazioni personali rilevanti ai sensi dell’art. 8 fino a comprendere immagini fotografiche, immagini video, ma anche dati acquisiti attraverso strumenti di localizzazione satellitare[49]. In tale ultima occasione, la Corte ha stabilito che la raccolta delle informazioni in luoghi pubblici non sarebbe illegittima, a meno che non risulti permanente e sistematica.
La stessa tendenza ad ampliare la nozione di dati personali e, con essa, l’ambito di applicazione dell’art. 8  CEDU si manifesta nelle sentenze Amann c. Svizzera e Rotaru c. Romania. Nella prima pronuncia, in particolare, la Corte qualifica come illegittima la formazione, ad opera dei servizi di informazione pubblici, di dossier nei quali, attraverso riferimenti a codici o sigle, potevano essere attribuiti al ricorrente determinate qualità personali (tra cui l’essere un informatore di paesi stranieri). Così, si è stabilito, da un lato, che il rispetto del diritto alla vita privata, con riguardo al trattamento dei dati personali, si deve ritenere riferito ad ogni informazione relativa ad una persona fisica identificata o identificabile e, dall’altro, che le limitazioni che possono essere legittimamente apportate al diritto alla protezione dei dati personali corrispondono a quelle tollerate nell’ambito delle condizioni del par. 2 dell’art. 8 CEDU[50].
Nella sentenza Rotaru, in particolare, la Corte ha modo di affermare la necessità che le informazioni trattate non risultino false o diffamatorie, ed, a maggior ragione, che, in tali casi, l’interessato debba essere messo in condizione di contestarle[51].
In queste pronunce la Corte mostra di volere fare riferimento, applicando l’art. 8, alla nozione di dati personali elaborata nella Convenzione di Strasburgo n. 108 il cui art. 2 definisce come tali “qualsiasi informazione relativa ad un soggetto determinato o determinabile”.
La Corte ha anche esaminato la questione del diritto di accesso ai propri dati personali nella sentenza Gaskin c. Regno Unito[52] nella quale i giudici si sono occupati del diniego, formulato dalle autorità sulla base della legislazione nazionale, alla richiesta di un cittadino, precedentemente affidato ai servizi di assistenza all’infanzia, di conoscere le informazioni contenute nel fascicolo formato dai servizi sociali ed, in particolare, le condizioni in cui era vissuto e gli eventuali abusi a cui era stato sottoposto.
In questo caso, i giudici affermano che il carattere confidenziale del fascicolo non viola ex se l’art. 8, perché potrebbe corrispondere alla realizzazione di un interesse pubblico riconducibile al par. 2. Tuttavia, le condizioni in presenza delle quali l’accesso viene consentito dalla legge, ovvero il consenso di tutte le persone coinvolte, appare sproporzionato[53].
Ancora, la Corte ha affermato nella sentenza Z. c. Finlandia, il carattere primario della riservatezza dei dati medici, che, come tali, debbono essere trattati secondo standard ancora maggiori di protezione e sicurezza, e che vanno a configurare, quindi, una particolare categoria di dati personali sensibili[54].
In sostanza, le disposizioni della CEDU e della Convenzione di Strasburgo, interpretate ed attuate dalla Corte europea dei diritti dell’uomo, tracciano le coordinate fondamentali della protezione dei dati personali nella dimensione europea, attribuendo caratteri nuovi alla originaria figura della privacy statunitense e tracciando le linee di sviluppo della futura ed in parte contestuale produzione normativa comunitaria.
Possiamo sinteticamente richiamare i risultati di questa fase di elaborazione giuridica.
In primo luogo, la giurisprudenza della Corte ci indica che il trattamento dei dati personali, nelle sue varie forme, rappresenta una delle dimensioni in cui si esercita il diritto al rispetto della vita personale di cui all’art. 8 della CEDU.
Correlativamente e nel medesimo tempo, il trattamento dei dati può costituire una fattispecie di lesione del medesimo diritto.
In altri termini, il dato personale non è più, come nella originaria elaborazione statunitense, l’oggetto di una pretesa o di un diritto ad excludendi alios, ma diventa attività che può divenire strumento di pregiudizio delle ragioni soggettive dell’individuo. Rileva, quindi, l’attività di trattamento in sé, e non il dato personale quale oggetto giuridico.
Per questo, la Corte impone una serie di principi giuridici in presenza dei quali il trattamento dei dati personali può garantire il rispetto della vita personale dell’individuo.
Emerge, quindi, una disciplina del trattamento dei dati personali in rapporto di derivazione dal diritto alla integrità della vita personale colta nella dimensione sociale della tecnologia e della circolazione delle informazioni.
I principi di questa disciplina sono relativamente semplici ma hanno una naturale vocazione espansiva, che verrà valorizzata dalla normativa comunitaria[55].
Innanzitutto, vale un concetto ampio di dato personale, che comprende qualsiasi informazione relativa ad un soggetto determinato o determinabile. Parimenti ampio è il concetto di trattamento, che comprende qualsiasi operazione di raccolta, conservazione o utilizzo.
Il trattamento deve avvenire sulla base di un fondamento legislativo, che ne assicuri la riconducibilità ad interessi pubblici rilevanti ai sensi dell’art. 8 par. 2 CEDU, secondo canoni di proporzionalità. Ciò implica che l’interessato non ha una pretesa assoluta alla riservatezza dei dati, ma un diritto il cui esercizio non deve pregiudicare interessi pubblici di grado superiore.
Tendenzialmente, il trattamento deve essere consentito dall’interessato, a cui è garantito l’accesso ai dati, debbono poi essere assicurati i valori delle veridicità dei dati, e debbono valere standard più ampi di protezione per dati di carattere sensibile, essenzialmente riconducibili allo stato di salute.
Come si vede, questa ricostruzione attribuisce caratteri nuovi alla protezione dei dati personali rispetto alla privacy di derivazione statunitense.
In primo luogo, ci si allontana dalla dimensione esclusiva del tort o dell’illecito civile, quale forma di protezione di un diritto interprivato che derivava da una sorta di attribuzione proprietaria delle informazioni. Rimane, invece, la qualità di diritto soggettivo come posizione piena di tutela.
In secondo luogo, viene specificato l’oggetto del diritto, che non è più una nozione sintetica a garanzia della protezione di vari momenti della vita privata, ma diviene la pretesa del trattamento di una specifica realtà giuridica, le informazioni personali, secondo precisi obblighi normativi.
In terzo luogo, pare perdere importanza la dimensione interprivata o pubblicistica della pretesa soggettiva. Infatti il diritto, nella sua qualità di diritto umano o libertà fondamentale, radicata nella identità personale dell’uomo[56], riceva un ambito di esercizio più ampio direttamente rivolto ai pubblici poteri (anche legislativi) ma anche agli altri soggetti giuridici.
Infine, il precipitato normativo della garanzia del diritto alla integrità della vita privata nella dimensione del trattamento dei dati personali, è la elaborazione di una disciplina di attività pubbliche e private che debbono svolgersi in modo da essere compatibili con i diritti degli individui. Si apre cosi la strada per una attività pubblica di regolazione, a garanzia della applicazione dei principi fondamentali del trattamento dei dati personali, strumento più adeguato rispetto a quelli giurisdizionali[57], che gli ordinamenti, peraltro debbono sempre garantire.
 
3 La normativa e la giurisprudenza comunitarie.
 
I risultati di questa elaborazione giuridica sono stati utilizzati dalla giurisprudenza e, successivamente, dalla legislazione comunitaria, per elaborare la disciplina del trattamento dei dati personali della Unione Europea.
La giurisprudenza comunitaria, prima della elaborazione di testi normativi in materia, ha determinato regole di protezione relativamente  al trattamento dei dati personali muovendosi all’interno delle coordinate normative tracciate dalla Corte Europea dei diritti dell’uomo in applicazione dell’art. 8 CEDU e della Convenzione di Strasburgo del 1981. La  Corte di Giustizia dell’Unione Europea ed il Tribunale di primo grado, in questo periodo, non hanno dato applicazione ad un diritto alla protezione dei dati personali dai contorni ben definiti. Hanno, invece invocato, “il più tradizionale diritto al rispetto della vita privata, il diritto di domicilio, il diritto ad essere ascoltato da un giudice”[58]. Tuttavia, in alcune pronunce, i giudici hanno applicato direttamente il diritto al rispetto della persona di cui all’8 CEDU per garantire la protezione dei dati personali in ordine allo stato di salute delle persone, ed hanno utilizzato gli stessi canoni di proporzionalità elaborati dalla Corte di Strasburgo per valutare la legittimità di eventuali sue limitazioni[59].
Soprattutto, però, la giurisprudenza di Lussemburgo ha imposto, nell’ordinamento comunitario, il diritto alla protezione dei dati personali quale diritto fondamentale pienamente vigente ed effettivo prima ed indipendentemente da riconoscimenti legislativi.
In questo quadro, il sistema ha proceduto naturalmente verso una positivizzazione normativa delle garanzie di protezione dei dati personali, anche se le istituzioni comunitarie, in questo momento storico, risultavano prive di competenza in materia di disciplina dei diritti fondamentali. Forse, anche per questo, le stesse istituzioni, in un primo momento, hanno rimesso la protezione dei dati personali alla adesione ed attuazione, ad opera dei singoli Stati europei, della Convenzione di Strasburgo del 1981[60].
Successivamente, però, è apparso evidente come gran parte delle attività interessate dalle liberalizzazioni comunitarie (della circolazione delle persone, dei servizi, dei capitali, e dello stabilimento dei lavoratori) abbiano dato luogo a fenomeni di data flows rilevanti per il rispetto dei diritti al corretto trattamento delle informazioni personali ex art. 8 CEDU.  Per questo, la positivizzazione dei principi fondamentali enucleati dalla Corte di Strasburgo, ed applicati dagli stessi giudici comunitari, è apparsa come uno strumento necessario, non solo per rispettare i diritti della persona, ma anche per realizzare il mercato unico europeo ed evitare che discipline statali divergenti pregiudicassero le libertà fondamentali comunitarie e la stessa concorrenza[61].
Occorre a questo proposito considerare, come ha fatto la dottrina, che i singoli Stati avrebbero potuto identificare nella esigenza di disciplina del trattamento dei dati personali una c. d. “ragione imperativa di interesse generale”, a giustificazione di regole nazionali di data protection confliggenti con i principi di liberalizzazione della normativa comunitaria[62].
Le istituzioni comunitarie, quindi, giocando d’anticipo, attraverso lo strumento della direttiva adottata ai sensi dell’art. 95 del TCE – che consente di imporre regole generali di armonizzazione delle normative statali per garantire la unificazione del mercato comune – hanno previsto una disciplina uniforme nella materia della protezione dei dati personali[63] ed hanno adottato la direttiva n. 95/46/CE del Parlamento europeo e del Consiglio, c. d. “direttiva madre” o “direttiva quadro” (relativa alla “tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”)[64] che ha dato impulso ad una serie di altre fonti per la dottrina tendenzialmente di attuazione ed integrazione in settori specifici[65].
Secondo la dottrina, quindi, anche in considerazione del suo fondamento normativo, l’obiettivo fondamentale della direttiva è risultato quello di contemperare “la tutela delle libertà, in particolare della vita privata, con l’esigenza della libera circolazione dei dati tra Stati membri, strumentale a sua volta all’esercizio della libertà di circolazione  delle persone, beni e servizi all’interno del mercato e quindi al suo buon funzionamento: il corretto funzionamento del mercato unico esige che siano salvaguardati i diritti fondamentali della persona”[66].
Tutto questo, però, ha generato, nella stessa normativa comunitaria, una sorta di “tensione immanente” fra tutela dei diritti e garanzia del mercato unico[67].
Quello che conta considerare, peraltro, è che la direttiva ha garantito e “positivizzato”, con gli unici strumenti normativi di tutela del mercato unico che aveva a disposizione, proprio quei diritti relativi al trattamento dei dati personali che erano stati desunti dall’art. 8 CEDU ed erano stati elaborati, nei loro contenuti, nella loro struttura e nella loro funzione, dalla giurisprudenza della Corte europea dei diritti dell’uomo, ed erano, per questo, divenuti parte integrante del diritto vivente.
Complessivamente, la direttiva ha proceduto nella elaborazione sostanziale della disciplina espressa della protezione dei dati personali, di cui è necessario, quindi, identificare i tratti più significativi.
Occorre da subito premettere, però, che la direttiva ha compiuto un passo in avanti nella giuridicizzazione dei diritti di protezione dei dati personali sotto vari punti di vista.
Innanzitutto, ha proseguito nella strada della enucleazione del concetto di data protection dall’originaria figura della privacy. Ciò risulta chiaramente dallo stesso oggetto della direttiva indicato nell’art. 1: “Gli Stati membri garantiscono, conformemente alle disposizioni della presente direttiva, la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali”.
Inoltre, la normativa ha identificato una serie di nuovi interessi pubblici e privati, derivati dalla dimensione della concorrenza, che possono rappresentare limiti legittimi all’esercizio dei diritti di data protection.
Infine, attraverso le proprie disposizioni, ha cristallizzato i canoni di proporzionalità che debbono caratterizzare le forme di compressione delle pretese alla protezione dei dati personali.
Venendo ai contenuti sostanziali la normativa ha previsto all’art. 2 una nozione ampia di dato personale come “qualsiasi informazione concernente una persona fisica identificata o identificabile (“persona interessata”); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale”.
Questa nozione, tuttavia, deve essere configurata attraverso il combinato disposto dell’art. 2 con l’art. 3 comma 1 che recita “Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi”.
Il “dato personale” rilevante, ai fini della disciplina, non è l’informazione personale funzionale a tecnologie e meccanismi automatizzati, ma quella in qualsiasi modo archiviabile, ovvero, in altri termini, destinata ad essere stabilmente conoscibile, consultabile, intellegibile[68].
Queste norme hanno tracciato il perimetro nel quale si tutela una specifica dimensione del diritto al rispetto della vita privata – il trattamento dei dati personali –, e, indirettamente, nel quale si tutelano le attività collegate, perimetro più o meno ampio in relazione al concetto stesso di dato personale.
Appare evidente come questo concetto risulti di ampio respiro e, soprattutto, possa essere esteso nei suoi tratti essenziali anche in maniera rilevante: ogni dato personale stabilmente ostensibile ed intellegibile può dare luogo alla applicazione di regole di protezione, pur di diversa intensità.
Ne deriva che la direttiva ha affermato una categoria di dato personale collegata e funzionale a quello della persona umana, che appare il vero oggetto della tutela[69]. Infatti non è l’operazione di trattamento con determinate caratteristiche tecniche a dover essere regolata, ma quella che, attraverso l’intellegibilità sistematica del dato coinvolto, è in grado di penetrare la dimensione personale del soggetto, pregiudicandone l’integrità.
Così, rimangono fuori dal perimetro della protezione solo i trattamenti di dati “effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico” ex art. 3 comma 2[70]. In questo senso, la normativa mostra la sua vocazione di tutela delle persone e dei loro diritti più che di disciplina di attività economiche liberalizzate.
Le norme successive hanno configurato il meccanismo di protezione delle persone nella dimensione del trattamento dei dati.
E’ un meccanismo di protezione e di disciplina che si applica indifferentemente a soggetti pubblici come a soggetti privati, come risulta dalle definizioni dell’art. 2 che hanno incluso nell’ambito dei soggetti destinatari della disciplina persone fisiche e giuridiche ed autorità pubbliche (ad eccezione del soggetto interessato dal trattamento che è persona fisica)[71].
L’attività di trattamento è qualificata come tendenzialmente lesiva della sfera personale, per questo è illecita se non svolta in presenza di una delle condizioni di ammissibilità – tutte equiordinate[72] – previste dalla direttiva.
Le condizioni, indicate nell’art. 7, sono il consenso dell’interessato, la necessità del trattamento per l’esecuzione di un contratto concluso con l’interessato, per adempiere un obbligo legale, per la salvaguardia di un interesse vitale dell’interessato, per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di un pubblico potere demandato al responsabile del trattamento, o, infine per la realizzazione di un interesse legittimo dello stesso responsabile o di un terzo, a condizione di compatibilità con l’integrità personale dell’interessato.
Si tratta di un ventaglio ampio di condizioni, alcune, invero, delineate in termini troppo generali (come nel caso della garanzia di un interesse o di un potere pubblico) o apparenti (come nel caso di un interesse legittimo del responsabile o di un terzo compatibile con la persona coinvolta ove si allude semplicemente ad un canone di proporzionalità indefinito e rimesso alla legislazione statale)[73].
Quello che rileva è che il legislatore comunitario, in presenza di queste condizioni, ha ritenuto la compressione dell’integrità personale proporzionale in astratto. In altri termini, in questi casi, l’intromissione nella sfera personale dell’interessato può teoricamente risultare proporzionata in rapporto alla attuazione di altri interessi meritevoli di tutela e coinvolti dal trattamento.
E’ bene considerare che, in forza dell’art. 9, la normativa ha posto un modello derogabile dagli Stati membri per garantire il valore della libertà di espressione, con riguardo alla quale il legislatore comunitario ha formulato solo una sorta di giudizio di prevalenza in astratto, rimettendo agli Stati stessi i termini della sua attuazione in concreto.
Dopo avere individuato il primo strumento attraverso il quale la direttiva ha inteso garantire il contemperamento di più interessi coinvolti, la fonte comunitaria è andata oltre ed ha imposto una serie di regole la cui applicazione dovrebbe garantire la proporzionalità in concreto della compressione della sfera personale per effetto del trattamento dei dati personali[74].
Si tratta di regole che stabiliscono: a) una serie di principi del trattamento; b) una serie di diritti degli interessati; c) una serie di obblighi dei responsabili.
Il combinato disposto degli artt. 6, 17 e 21 ha imposto i principi di lealtà,  liceità, pubblicità e sicurezza del trattamento, la determinazione delle sue finalità (che debbono essere esplicite e legittime), l’adeguatezza, la pertinenza e l’esattezza dei dati (pena la cancellazione o la rettifica), nonché la temporaneità della conservazione.
L’art. 12 e l’art. 14 hanno previsto una serie di diritti per l’interessato quali il diritto di accesso (con una serie di specificazioni che vanno dalla rettifica alla cancellazione al congelamento dei dati con eventuale notificazione anche a terzi) e di opposizione al trattamento dei dati.
Gli artt. 10, 11 e 18 hanno previsto una serie di obblighi per il responsabile del trattamento, quali quello di informazione relativamente alla raccolta dei dati all’interessato, e quello di notificazione della effettuazione del trattamento alla amministrazione pubblica, oltre, evidentemente, all’obbligo di ricevere il consenso di cui sopra.
Questo ultimo insieme di regole, in forza dell’art. 13, è derogabile dagli Stati per salvaguardare una serie di interessi di carattere pubblico, nonché per la protezione della persona interessata e dei “diritti o delle libertà altrui”.
Il modello di protezione della persona nella dimensione del trattamento dei dati personali è stato confermato dall’art. 8 anche con riguardo ai c. d. dati sensibili, per i quali, sostanzialmente, vengono previsti standard di protezione più elevati, consentendo agli Stati di ritenere insufficiente il consenso e di prevedere presupposti di ammissibilità del trattamento più rigidi e specifici.
Il sistema si chiude con un meccanismo di controllo sulla applicazione della disciplina di protezione che si articola in due livelli.
Abbiamo un primo controllo a livello amministrativo che si realizza, ex art. 28, attraverso una attività di regolazione (comprensiva di poteri giustiziali ex art. 22) demandata ad una autorità pubblica.
Quindi, esiste una seconda forma di controllo, successivo al trattamento dei dati, e di carattere giurisdizionale, ai sensi dell’art. 22.
Entrambe le forme di controllo sono caratterizzate dal principio della indipendenza della autorità competente.
Da queste forme di controllo emerge il modello di tutela delle posizioni soggettive che è delineato esplicitamente dall’art. 23: “Gli Stati membri dispongono che chiunque subisca un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione della presente direttiva abbia il diritto di ottenere il risarcimento del pregiudizio subito dal responsabile del trattamento” il quale può liberarsi dalla responsabilità se prova che “l’evento dannoso non gli è imputabile”.
Parrebbe imporsi una responsabilità da inadempimento di obbligazioni imposte dalla legge[75].
Esaurita l’analisi delle diposizioni occorre considerare che, dopo l’entrata in vigore della direttiva, la giurisprudenza comunitaria ha pronunciato alcune sentenze particolarmente indicative in ordine al contenuto sostanziale delle regole e in ordine alle modalità di funzionamento dei meccanismi di protezione dei diritti[76], o, nei termini usati dalla dottrina, in ordine alla “capacità operativa dei principi in essa contenuti”.
Nella sentenza Rechnungshof c. Osterreichischer Rundfunk la Corte giustizia si è pronunciata sulla compatibilità con la direttiva 95/46/CE  di normative nazionali che obbligano gli enti pubblici, sottoposti al controllo contabile, a raccogliere e trasmettere dati relativi ai redditi dei propri dipendenti, a garanzia dell’interesse all’impiego appropriato delle finanze pubbliche[77].
Le argomentazioni della Corte sono di estrema semplicità ed applicano il meccanismo di tutela tratteggiato dalla direttiva.
In primo luogo, i giudici hanno affermato che la realizzazione di un interesse pubblico costituisce una condizione di ammissibilità del trattamento dei dati personali: “Un siffatto obiettivo (appunto l’impiego appropriato delle finanze pubbliche) rappresenta una finalità legittima ai sensi tanto dell’art. 8, n. 2, della CEDU, che menziona il ‘benessere economico del paese’, quanto dell’art. 6, n. 1, lett. b), della direttiva 95/46, che fa riferimento a ‘finalità determinate, esplicite e legittime’”.
In secondo luogo, i giudici si sono chiesti se il trattamento regolato dalla disciplina nazionale risulti conforme ai principi comunitari, ovvero se risulti necessario e proporzionato agli interessi pubblici che intende realizzare ai sensi della giurisprudenza della Corte europea dei diritti dell’uomo relativa all’art. 8 (espressamente citata) e, correlativamente, dell’art. 6 comma 1 lett. c) della direttiva, che ne costituisce l’attuazione diretta.
In terzo luogo, i giudici, declinando peraltro la propria competenza, hanno rimesso quest’ultima valutazione concreta ai giudici nazionali del rinvio, che devono valutare se la normativa nazionale preveda modalità di trattamento dei dati realmente necessarie, proporzionate e, quindi, lecite ai sensi della direttiva, e, nel caso di esito negativo di tale valutazione, devono garantire un trattamento dei dati personali diverso da quello stabilito dalla legge nazionale e conforme ai dettami della normativa comunitaria[78].
Come si vede, i giudici, dapprima si sono chiesti se sussista una condizione legittimante in astratto il trattamento e, successivamente, se esso si svolga – per il tramite della normativa nazionale – secondo i principi e le regole della direttiva, cioè secondo i parametri della proporzionalità in concreto del trattamento. Quello che colpisce, peraltro, è che il riferimento normativo primario, per la Corte, rimane la giurisprudenza dell’art. 8 della CEDU, di cui la direttiva sembra rappresentare mera specificazione attuativa.
In una sentenza successiva la Corte ha avuto modo di affermare che il trattamento dei dati personali non è illecito solo quando non è conforme ai principi generali posti dall’art. 6, ma anche e soprattutto quando non garantisce i diritti di cui all’art. 21 della direttiva. In particolare i giudici hanno stabilito che la normativa nazionale che impone ad un comune la conservazione dei dati personali di un suo cittadino per il solo periodo di un anno (a cui fa seguito la distruzione) non consente il reale esercizio del diritto di accesso.
Quindi, secondo i giudici anche la piena garanzia dei diritti della direttiva rende il trattamento proporzionato in concreto e, quindi, lecito: “Spetta agli Stati membri fissare il termine per la conservazione di tali informazioni nonché il corrispondente accesso alle stesse che costituiscano un giusto equilibrio tra, da una parte, l’interesse della persona interessata a tutelare la propria vita privata, in particolare tramite i mezzi di intervento e le possibilità di agire in giudizio previste dalla direttiva 95/46, e, dall’altra, l’onere che l’obbligo di conservare tali informazioni comporta per il responsabile del trattamento”[79].
Come si vede, il meccanismo di data protection si realizza con l’applicazione  – attraverso le legislazioni nazionali – di principi, diritti, obblighi e condizioni organizzative in grado di garantire  il concreto contemperamento dei diritti delle persone coinvolte con gli interessi dei soggetti pubblici e privati che effettuano il trattamento: solo in presenza di questo contemperamento si avrà una limitazione della sfera personale proporzionata e, quindi, lecita.
Più recentemente, la Corte ha avuto modo di chiarire come il meccanismo di tutela richieda anche l’elemento della indipendenza reale delle autorità nazionali di regolazione[80].
Ancora, dopo avere applicato più volte il meccanismo di tutela delineato dalle regole e dai principi della direttiva[81] la Corte ne ha addirittura precisato il valore giuridico ed il grado di vincolatività nei confronti degli Stati membri.
Con la sentenza Asnef[82] in particolare i giudici si sono pronunciati su un ricorso di alcune associazioni di categoria secondo le quali il diritto spagnolo “aggiunge alla condizione attinente all’interesse legittimo al trattamento dei dati senza il consenso della persona interessata una condizione che non esiste nella direttiva 95/46, che, cioè, i dati compaiano in fonti accessibili al pubblico”. La Corte, negando la legittimità delle disposizione nazionale, ha affermato che: “La normativa Ue in materia di trattamento dei dati personali mira ad un’armonizzazione completa delle legislazioni nazionali. Pertanto, al fine di garantire un livello di protezione equivalente in tutti gli stati membri, l’art. 7 della direttiva 95/46 prevede un elenco esaustivo e limitativo dei casi in cui il trattamento dei dati personali può essere considerato lecito. Gli stati membri non possono né aggiungere nuovi principi relativi alla legittimazione del trattamento dei dati personali (art. 7 della direttiva 95/46), né prevedere requisiti supplementari che porterebbero a modificare l’ambito di applicazione di uno dei sei principi”. A corollario del principio il giudice comunitario ha affermato: “Si è così giudicato che l’armonizzazione delle suddette legislazioni nazionali non si limita quindi ad un’armonizzazione minima, ma sfocia in un’armonizzazione che, in linea di principio, è completa. È in quest’ottica che la direttiva 95/46 intende garantire la libera circolazione dei dati personali, pur assicurando un alto livello di tutela dei diritti e degli interessi delle persone cui si riferiscono tali dati (v. sentenza Lindqvist, cit., punto 96)”.
In questo contesto, infine, la Corte ha qualificato anche possibili deroghe al sistema che la direttiva prevede affermando che “gli Stati membri hanno non già l’obbligo, bensì la facoltà di trasporre nel loro diritto nazionale una o più delle deroghe che esso prevede all’obbligo di informare le persone interessate del trattamento dei loro dati personali”[83].
A questo punto è possibile identificare alcuni caratteri del processo di giuridificazione della tutela dei dati personali realizzato dall’ordinamento comunitario in questa fase storica.
Innanzitutto, la normativa comunitaria, rappresentata dalla “direttiva madre” ma anche dalle altre filiazioni normative, positivizza, specifica ed articola le posizioni soggettive in materia di protezione dei dati personali derivabili dall’art. 8 CEDU e delineate dalla giurisprudenza di Strasburgo.
In questo senso, proietta una figura sintetica e generale come la protezione della vita personale e familiare nel prisma del dato personale (e del suo trattamento) e ne deriva una disciplina cristallizzata in principi, diritti ed obblighi.
La figura generale perde elasticità ma se ne deriva una regolamentazione più certa, efficace ed adeguata.
Occorre peraltro considerare che la normativa comunitaria non esaurisce l’attuazione dell’art. 8 CEDU nella dimensione della protezione del dato personale. Infatti, la direttiva regolamenta il trattamento dei dati collegato alle attività economiche e sociali interessate dalla concorrenza e del mercato unico, lasciando fuori i trattamenti di dati personali occasionalmente realizzati da “una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico” o di dati non “contenuti o destinati a figurare negli archivi”[84]. Anche questi trattamenti possono ledere la sfera personale pregiudicando i diritti tutelati dall’art. 8 CEDU, il quale, come abbiamo visto, tutela le persone da ogni intromissione di soggetti pubblici e privati, individuali e collettivi, che esercitano una attività pubblica o privata, che svolgono attività personali o professionali. In sostanza, in questa fase storica, siamo di fronte ad una positivizzazione della protezione dei dati personali desumibile dall’art. 8 CEDU che non è esaustiva di ogni lesione della persona, ma relativa, come è logico, allo svolgimento delle attività economiche e sociali rilevanti per la garanzia delle liberalizzazioni e della concorrenza.
Naturalmente, l’ambito non interessato da questa prima fase di giuridicizzazione rimane rimessa agli Stati o a futuri sviluppo della normazione comunitaria.
In secondo luogo, la protezione dei dati personali della normativa comunitaria si realizza essenzialmente attraverso un meccanismo di contemperamento di interessi contrapposti. Il legislatore non tipizza comportamenti leciti, ma elabora regole che dovrebbero garantire la proporzionalità in concreto dalla intromissione nella sfera personale e, con essa, la sostenibilità dei trattamenti di dati. Il tutto in linea con la filosofia dei fondo ed il target della normativa, che è quella di garantire la dimensione concorrenziale del mercato e, con esso, lo sviluppo economico e sociale.
Emerge, quindi, in terzo luogo, la natura della normativa comunitaria quale disciplina che “ha fissato dei principi comuni e tendenzialmente valevoli per ogni tipo di trattamento, che funzionano alla stregua di vere e proprie clausole generali, destinate ad essere riempite in sede di applicazione, ossia allorquando si renda necessario risolvere un conflitto concretamente verificatosi”^[85].
Le regole della disciplina comunitaria, quindi, sono clausole generali che conducono al contemperamento degli interessi coinvolti e, con esso, alla liceità del trattamento. Per questo agli Stati, come agli operatori nazionali, non è concessa la loro integrazione o variazione ma solamente la attuazione. Siamo, quindi, di fronte ad un sistema normativo elastico ma completo, esaustivo ed uniforme nelle sue regole e nei suoi principi sostanziali.
In quarto luogo, infine, il legislatore comunitario traccia un regime di responsabilità favorevole al danneggiato, riducendo i suoi oneri processuali di prova, ed agevolando la realizzazione delle sue pretese risarcitorie. Questo regime rende addirittura plausibile che l’impianto della direttiva tenda a prevedere, o comunque non escluda, un rapporto obbligatorio tra il soggetto interessato ed il responsabile del trattamento dei dati personali, rapporto che influisce sulla natura delle rispettive posizioni soggettive e responsabilità.
A questo punto, la giuridicizzazione del data protection è configurata in maniera completa nell’ordinamento comunitario ed identifica un input che troverà attuazione nel nostro ordinamento.
In ambito comunitario, invece,  il passo successivo sarà quello della cristallizzazione dei diritti al corretto trattamento dei dati personali in fonti che ne riconoscono il valore costituzionale in ambito europeo. Si tratta dell’art. 286 del Trattato CE[86] introdotto con il trattato di Amsterdam, la Carta dei diritti di Nizza del 2000, che “compie un passo importante laddove separa la tutela del diritto alla vita privata (previsto dall’art. 7) da quello della vita famigliare (previsto dall’art. 9) e da quello della protezione dei dati di carattere personale (previsto dall’art. 8)”[87], ed, infine, il Trattato di Lisbona.
Questo testo in particolare all’art. 16 stabilisce: “1.   Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. 2.Il Parlamento europeo e il Consiglio, deliberando secondo la procedura legislativa ordinaria, stabiliscono le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte delle istituzioni, degli organi e degli organismi dell’Unione, nonché da parte degli Stati membri nell’esercizio di attività che rientrano nel campo di applicazione del diritto dell’Unione, e le norme relative alla libera circolazione di tali dati. Il rispetto di tali norme è soggetto al controllo di autorità indipendenti”.
La disposizione richiama il testo dell’art. 8 della Carta di Nizza cristallizzando per così dire la elaborazione giuridica precedente ma soprattutto, al secondo comma “istituisce come già detto una vera e propria competenza dell’Unione in materia. Di conseguenza, l’intervento dell’Unione può estendersi fino al punto di privare gli Stati membri di qualsiasi margine di manovra in tale ambito, potendo al limite stabilire un livello inderogabile di tutela, tanto in melius quanto in peius, e ciò eventualmente anche a prescindere da considerazioni legate alla necessità di assicurare la circolazione dei dati personali”[88].
 
4.  La legge 31 dicembre 1996 n. 675.
 
A questo punto è necessario descrivere il processo di giuridificazione della protezione dei dati personali realizzatosi in Italia.
Date le dimensioni dello studio è possibile prendere in esame soltanto i passaggi essenziali di questo processo rappresentati dalla legge 31 dicembre 1996 n. 675, che realizza la prima positivizzazione legislativa della materia, e dal Decreto legislativo 30 giugno 2003, n. 196 nella sua versione vigente (c. d. Codice sulla protezione dei dati personali) che rappresenta, per così dire, lo stato dell’arte attuale.
Venendo ad analizzare in dettaglio i contenuti della legge n. 675 il legislatore italiano ha riproposto l’impianto normativo comunitario già analizzato, il quale, a propria volta, prevede: a) la determinazione dell’oggetto della normativa (e della tutela); b) una serie di regole che garantiscano la proporzionalità in astratto dei trattamenti di dati rispetto alle esigenze economico-imprenditoriali; c) una serie di regole che garantiscano la proporzionalità in concreto dei medesimi trattamenti, anche attraverso l’esercizio di una serie di diritti dell’interessato e di obblighi del titolare del trattamento; d) una serie di meccanismi di controllo della applicazione delle regole giuridiche attraverso l’azione di organismi indipendenti (giurisdizionali e non)[89].
Innanzitutto, in primo luogo, il legislatore italiano non ha modificato, rispetto alla disciplina comunitaria, né l’ambito di applicazione della normativa di tutela né le sue finalità.
Infatti, si identifica l’ambito di applicazione della normativa in ogni “trattamento di dati personali[90] genericamente inteso e non necessariamente realizzato con strumenti automatizzati o database elettronici[91]. Correlativamente, si escludono dalla applicazione delle norme solamente i trattamenti effettuati da persone fisiche per scopi esclusivamente personali (trattamenti che, peraltro, rimangono assoggettati all’obbligo di adottare misure di sicurezza e possono condurre alle forme di responsabilità civile speciale della disciplina)[92].
Come si vede, la legge n. 675, in maniera innovativa per l’ordinamento italiano, ha proposto sostanzialmente il medesimo ambito di applicazione della normativa di tutela comunitaria[93].
E’ bensì vero che il legislatore, nell’intento di proporre scelte originali, ha tentato di aggravare il regime di tutela, estendendone lievemente l’ambito di applicazione rispetto alle norme comunitarie. Ad esempio, ha regolato ogni trattamento di dati personali, mentre la direttiva regolava al massimo i “trattamenti non automatizzati di dati destinati a finire in archivi[94]; oppure ha vincolato i trattamenti esclusivamente personali, che la direttiva comunitaria non regolava, agli obblighi di sicurezza ed alle forme di responsabilità civile speciali determinati dalla stessa legge n. 675. Tuttavia, si tratta di variazioni marginali, che, non paiono alterare i meccanismi normativi fondamentali contenuti nella legge, né il loro concreto ambito di applicazione[95].
Anche con riguardo alle finalità della normativa (e della tutela della persona) il legislatore italiano non si è discostato dalle scelte comunitarie, sebbene queste siano state riproposte con una formulazione ridondante e meno corretta sul piano tecnico[96].
Più precisamente, mentre la direttiva, rivolgendosi agli Stati, ha imposto la “la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali, il legislatore italiano, destinatario della normativa comunitaria, l’ha riproposta nella stessa forma, indirizzandola ai destinatari della legge, cioè ai soggetti privati, con alcune aggiunte, quali la tutela della dignità delle persone, della riservatezza e della identità personale. Come ha chiarito la dottrina, però, “i destinatari della norma essendo i soggetti privati, la proclamazione di esordio, nel momento in cui non si propone di aggiungere o togliere nulla a quanto le norme successive provvederanno a disporre, sembra essere, nella migliore delle ipotesi, inutile[97].
In ogni caso, è stato affermato che il legislatore italiano ha inteso tutelare, attraverso vari strumenti giuridici, una serie di diritti che preesistono alla legge n. 675 del 1996: le libertà fondamentali della persona, la dignità, la riservatezza e la identità personale[98].
In questo senso, il legislatore italiano ha seguito l’impostazione della direttiva, che tutela il diritto alla vita privata della persona nel trattamento dei dati personali, pur includendo, nel dettato normativo, alcune posizioni soggettive della propria tradizione giuridica che, peraltro, non ampliano l’orizzonte di tutela, determinato, in buona sostanza, dai meccanismi di protezione contenuti nel corpo della legge[99].
Non alterano la finalità della legge neppure alcune ulteriori lievi variazioni rispetto alla direttiva, come la tutela parziale anche della identità delle persone giuridiche[100] o l’ampliamento del catalogo dei soggetti che operano sui dati personali e che, correlativamente, sono soggetti agli obblighi di legge[101].
Ancora, in secondo luogo, il legislatore italiano ha riaffermato le regole comunitarie che garantiscono la proporzionalità in astratto dei trattamenti di dati rispetto alle esigenze economico-imprenditoriali. Infatti, la legge n. 675 ha riproposto, senza sostanziali variazioni, le condizioni di liceità del trattamento dei dati personali della direttiva. Come nella normativa comunitaria, le condizioni di liceità corrispondono ad una serie di interessi meritevoli di tutela che legittimano l’ingresso nella sfera personale dell’interessato.
L’unica differenza rispetto all’impianto comunitario è che la condizione di liceità del consenso dell’interessato è proposta dal legislatore italiano come la unica condizione in senso tecnico, mentre le altre condizioni già previste dalla normativa comunitaria sono contemplate dalla legge italiana quali fattispecie di trattamento lecito in deroga alla regola generale del consenso (ovvero come ipotesi di possibile deroga alla necessità di acquisire il consenso dell’interessato). Il trattamento dei dati personali, quindi, può avvenire primariamente con il consenso dell’interessato o, in deroga alla regola generale, in una serie di circostanze che attuano, specificandole, le altre condizioni della normativa comunitaria.[102]
Il legislatore, poi, ha riprodotto sostanzialmente la stessa disciplina utilizzata per regolare il trattamento anche per la comunicazione e diffusione dei dati, in questo modo sdoppiando la normativa sull’intervento sui dati personali che la direttiva aveva mantenuto unitaria[103].
Il risultato complessivo, naturalmente, non cambia: la legge italiana veicola i medesimi contenuti normativi comunitari traducendoli nelle più sicure categorie civilistiche del consenso e delle sue deroghe.
Inoltre, che il consenso non sia il centro di gravità della normativa lo testimonia il fatto che, se il legislatore avesse adottato un modello consensualistico puro, le deroghe sarebbero state relative ad ipotesi nelle quali il consenso non avrebbe potuto essere prestato, per la indisponibilità dell’interesse informativo relativo (si pensi ad esempio a dati di status personali di carattere familiare o di salute), o ad ipotesi di incapacità od impossibilità di prestarlo (con connesse fattispecie di sostituzione o assistenza dell’avente diritto). Le ipotesi di inoperatività del consenso, invece, sono legate alla sussistenza di interessi considerati dal legislatore meritevoli di pari o superiore tutela (si pensi ad esempio alla clausola c. d. di equilibrio di interessi di cui all’art. 7 lett. f) della direttiva)[104].
Ulteriore conferma dell’apparenza del modello consensualistico è data dalle norme che escludono la necessità del consenso nel caso in cui il trattamento sia realizzato da enti pubblici non economici e sia diretto alla realizzazione di funzioni istituzionali anche non autoritative. Anche in questo caso non rileva la volontà del titolare ma l’interesse sotteso al trattamento[105].
Nonostante le apparenze, quindi, non siamo di fronte ad un modello consensualistico puro e, correlativamente, non siamo neppure di fronte ad un modello di tutela proprietaria dei dati personali, ma ad un modello di tutela della persona a condizione di compatibilità con il mercato, proprio come nella direttiva comunitaria. Le condizioni di liceità, allora, anche nella legge italiana segnano il perimetro degli interessi pubblici e privati che possono legittimare un ingresso nella sfera personale, per definizione proporzionato in astratto.
In questo quadro, forse, il legislatore avrebbe potuto dedicare maggiore attenzione alla disciplina della attività giornalistica, valorizzando le prospettive della libertà di espressione indicate dall’art. 9 della direttiva[106].
La legge italiana, in terzo luogo, ha riprodotto le disposizioni comunitarie che introducono regole, principi, diritti dell’interessato e obblighi del titolare del trattamento che garantiscono quella che abbiamo definito la proporzionalità in concreto della invasione della sfera personale.
Innanzitutto, anche il legislatore italiano ha riproposto, senza sostanziali variazioni, il complesso dei principi giuridici comunitari che disciplinano le modalità del trattamento dei dati personali[107].
Ancora, sono stati sostanzialmente riproposti i diritti dell’interessato, riconducibili all’accesso ai dati ed alla opposizione al loro trattamento, già introdotti dalla direttiva comunitaria[108].
In questo ambito, il legislatore italiano, forse per innalzare il livello di protezione dell’interessato, ha consentito “di opporsi, in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta al trattamento, mentre la direttiva consente “di opporsi in qualsiasi momento, per motivi preminenti e legittimi, derivanti dalla sua situazione particolare, al trattamento di dati che la riguardano[109]. In altri termini, secondo la interpretazione letterale dei testi, mentre la direttiva consentirebbe l’opposizione per un interesse qualificato valutato come prevalente dal giudice, la normativa italiana consentirebbe l’opposizione al trattamento in forza di qualsiasi interesse giuridicamente rilevante, anche non sovraordinato a quello per il quale si effettua il trattamento.
Questa interpretazione letterale delle norme non va sopravvalutata perché condurrebbe a paralizzare, nel caso di opposizione dell’interessato, anche il trattamento effettuato in deroga al suo consenso (ex art. 12) per adempiere un “obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria oppure riguardanti “dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque.
In altri termini, questa interpretazione subordinerebbe ad una sorta di consenso successivo anche i trattamenti direttamente collegati alla realizzazione di un interesse pubblico. Inoltre, condizionerebbe ogni trattamento di dati personali a una sorta di consenso successivo dell’interessato scardinando l’impianto della legge che prevede, invece, una serie di condizioni di liceità di trattamento a tutela di differenti interessi pubblici o privati.
E’ quindi preferibile una lettura teleologico-sistematica che attribuisca alle norme domestiche lo stesso contenuto della direttiva.
Anche con riguardo alla previsione di obblighi per i soggetti che a vario titolo partecipano al trattamento, il legislatore italiano non ha proposto scelte realmente originali rispetto alla normativa comunitaria. Vengono, infatti, richiamati gli obblighi comunitari di notificazione dei trattamenti al Garante, di informativa all’interessato, e di adozione di misure di sicurezza[110].
Anche in questo contesto il legislatore, per rendere più rigido il regime di garanzia dell’interessato, ha imposto i meccanismi di protezione, come abbiamo già visto, anche ai trattamenti di carattere personale ed ha eliminato il riferimento ai costi, già contenuto nella direttiva, quale elemento da considerare nell’approntamento delle misure di sicurezza[111]. Queste scelte, tuttavia, non paiono alterare le logiche dei meccanismi di protezione della direttiva[112].
Anche nel sistema italiano sono state previste norme relative ai c. d. dati sensibili che riprendono le indicazioni della direttiva imponendo standard di protezione più alta, legati alla necessità del consenso scritto dell’interessato per il trattamento dei dati ed alla tipizzazione rigorosa delle fattispecie nelle quali è ammesso il trattamento senza consenso[113].
Per concludere, in quarto luogo, il legislatore italiano ha riproposto l’impianto normativo della direttiva relativamente ai meccanismi amministrativi e giurisdizionali di controllo dell’applicazione delle norme di protezione della persona in ambito informativo.
Con riguardo al sistema amministrativo, viene attuata, con la creazione del Garante per la protezione dei dati personali, la scelta organizzativa della direttiva di configurare una amministrazione indipendente dal potere di governo[114].
Nel medesimo tempo, il legislatore ha riproposto la tavola di compiti già emersa in sede europea e che la dottrina ha riordinato in: controllo, vigilanza e monitoraggio, consulenza ed attività promozionale, autorizzazione, denuncia, repressione e sanzione[115]. In questa tavola di compiti emergono chiaramente funzioni paragiurisdizionali[116].
Con riguardo al sistema giurisdizionale di tutela il legislatore italiano ha cercato di riprodurre le soluzioni della direttiva, ma lo ha fatto utilizzando in maniera non pienamente corretta le soluzioni tecniche messe a disposizione dall’ordinamento domestico, suscitando così, un vasto dibattito interpretativo.
Più precisamente, il legislatore ha cercato di riprodurre l’art. 23 della direttiva[117] stabilendo all’art. 18 della legge che “chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’art. 2050 del codice civile[118].  
Come ha chiarito la dottrina “si tratta di una responsabilità caratterizzata da inversione dell’onere della prova circa elementi di fatto che escludano l’imputazione della lesione. Ma il criterio di imputazione non è determinato… Nella specie il legislatore comunitario prevede che sia adottata una regola di responsabilità caratterizzata dalla possibilità di esonero per il soggetto individuato come destinatario della regola stessa. Lascia invece al legislatore la scelta del criterio di imputazione. Questo, allora, può essere la colpa o un criterio oggettivo, perché l’esonero dalla responsabilità è compatibile anche con la responsabilità oggettiva ed è funzione del non ricorrere di taluno degli elementi nei quali il criterio d’imputazione prende struttura[119].
Il legislatore italiano, nel tentativo di riproporre il sistema della direttiva, che prevede una forma di responsabilità con inversione dell’onere della prova, ha utilizzato il riferimento italiano che ritiene imposto dal meccanismo comunitario: la responsabilità per attività pericolose di cui all’art. 2050 c.c..
Gli interpreti più attenti hanno rilevato come il meccanismo comunitario dell’inversione dell’onere della prova non imponesse l’utilizzo della norma codicistica[120].
La scelta del legislatore ha così generato una serie di problemi interpretativi.
Da un lato, si è aperto il dibattito se il trattamento dei dati personali fosse realmente, e non solo giuridicamente, un’attività pericolosa, dall’altro si è cercato di superare le incertezze sul reale contenuto del nesso di imputazione introdotto dall’art. 2050 c. c. nella dimensione del trattamento dei dati personali.
Con riguardo alla problematica relativa alla pericolosità della attività di trattamento la dottrina si è divisa e non ha raggiunto conclusioni univoche.
Con riguardo al secondo tema si è giunti alla conclusione che, per essere davvero aderente al modello comunitario, l’art. 2050 c.c. (a cui fa riferimento l’art. 18 della legge n. 675) deve essere interpretato come una norma che contempla un nesso di imputazione di responsabilità oggettiva particolare, collegata alla sfera di rischio prodotto dalle attività di trattamento.
Più precisamente “la regola di responsabilità che si applica in materia di trattamento dei dati personali non potrà mai essere interpretata nei termini di una semplice inversione dell’onere della probatorio circa la colpa. A risultare determinante, infatti, non è mai il comportamento assunto dal soggetto che svolge l’attività. Fondamentale ai fini della imputazione del danno risulta la definizione della sfera di rischio della quale risponde colui che effettua il trattamento dei dati. Di tutti i pregiudizi che siano manifestazione dei quel rischio egli sarà responsabile secondo un criterio di responsabilità oggettiva[121]
Per la stessa dottrina, poi, il rischio specifico relativo al trattamento dei dati personali è dato dal “pericolo di ledere posizioni personali, particolarmente qualificate[122] identificabili nelle posizioni soggettive presupposte dell’art. 1 della legge cioè i diritti, le libertà fondamentali, la dignità delle persone fisiche, con particolare riferimento alla riservatezza e all’identità personale.
Infine, l’autore del trattamento, secondo questa ricostruzione, può liberarsi ogni volta che la causa del danno possa essere ritenuta estranea dalla sua sfera di rischio[123]. Naturalmente, in quest’ottica non sarà sufficiente la prova della mera adozione delle misure di sicurezza tecnologicamente adeguate[124].
Come si vede, anche con riguardo alla tutela, il legislatore ha perseguito il modello della normativa comunitaria, anche se lo ha fatto attraverso soluzioni tecniche domestiche che hanno generato alcuni problemi interpretativi.
Dalle considerazioni svolte risulta che il legislatore italiano con la legge n. 675 ha riproposto quasi pedissequamente l’impianto ed i contenuti sostanziali della normativa comunitaria di data protection, della direttiva 95/46/CE.
Tale normativa, come abbiamo visto, ha perseguito l’obiettivo di tutelare la persona nello spazio uniforme europeo in maniera compatibile con le ragioni del mercato e con le relative esigenze di trattamento dei dati personali. Come si ricorderà, il legislatore comunitario ha ritenuto di raggiungere questi obiettivi attraverso la positivizzazione, con la direttiva 95/46/CE, della tradizione giudica di tutela dei diritti umani formatasi sulla giurisprudenza della Corte europea dei diritti dell’Uomo in applicazione dell’art. 8 CEDU (successivamente fatta propria dalla Corte di Giustizia delle Comunità Europee).
Il legislatore italiano, quindi, nella misura in cui ha riproposto senza sostanziali variazioni la normativa comunitaria, ha importato integralmente nel nostro ordinamento i risultati della elaborazione giurisprudenziale e legislativa europea. In questo modo, naturalmente, ha isolato, escluso e, per così dire, bypassato l’elaborazione dottrinale e giurisprudenziale italiana relativa alla differente figura giuridica della riservatezza, che non aveva consentito, peraltro, lo sviluppo di una disciplina organica[125].
Per questo, la normativa italiana si è presentata, nel panorama giuridico domestico, come realmente “innovativa” sul piano formale, perché ha positivizzato norme sostanziali differenti da quelle conosciute dalla dottrina e dalla giurisprudenza.  Nello stesso tempo, però, la normativa italiana è apparsa assolutamente  “tradizionale sul piano sostanziale se considerata nella dimensione europea.
A questo riguardo la legge italiana ha riproposto non solo l’impianto della normativa comunitaria in materia di data protection ma anche le regole generali di trattamento, le posizioni sostanziali attive e passive, le forme di responsabilità ed i meccanismi di regolazione e tutela giurisdizionale ed amministrativa.
L’unico elemento di originalità come abbiamo visto  è stato rappresentato dalla introduzione nel tessuto della normativa di categorie giuridiche di derivazione civilistica, che, tuttavia, non hanno implementato i meccanismi sostanziali della disciplina ed, anzi, hanno posto semplicemente dei problemi applicativi.
 
5. Il Codice in materia di protezione dei dati personali.
 
L’ultima fase del processo di giuridicizzazione della protezione dei dati personali in Italia è rappresentata dal decreto legislativo 30 giugno 2003 n. 196 (Codice in materia di protezione dei dati personali), che verrà preso in considerazione nella sua versione attuale e vigente[126].
Come è noto, il Codice è nato per la necessità di sistematizzare in un corpus organico disposizioni che si sono stratificate dopo l’entrata in vigore della legge n. 675 del 1996 e che sono derivate da interventi legislativi, da interventi regolamentari, da provvedimenti del Garante della protezione dei dati personali ed, infine, da norme di derivazione comunitaria[127].
Così, il testo ha posto molte disposizioni di integrazione e di coordinamento degli istituti classici della protezione dei dati personali, introdotti con la direttiva 96/46/CE e con la legislazione del 1996, con i materiali normativi più recenti[128]. Nel medesimo tempo, peraltro, è stata introdotta, nella Parte II, una regolamentazione ampia e minuziosa del trattamento di dati personali in settori specifici di attività economica e sociale[129].
A livello strutturale il Codice ha assunto una struttura piramidale che si compone di regole di carattere generale integrate da regole relative a settori specifici ed, ancora, da regole relative alla tutela amministrativa e giudiziale, all’organizzazione ed attività del Garante, ed all’apparato sanzionatorio[130].
Peraltro, la sistematizzazione del Codice ha introdotto anche importanti elementi di novità che possiamo riassumere in questi termini.
Innanzitutto, il Codice ha riconosciuto in maniera netta, all’art. 1, il diritto alla protezione dei dati personali, che è stato anche identificato, all’art. 2, come una delle finalità della nuova disciplina, accanto a quelle già previste dalla legislazione precedente[131] (si tratta, come è noto del “rispetto dei diritti e delle libertà fondamentali, … della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale”[132]). Queste norme hanno riproposto, nel nostro ordinamento, il riconoscimento del diritto alla protezione dei dati personali già previsto dall’art. 8 della Carta di Nizza, dotata di valore costituzionale in ambito europeo per il suo inserimento nel Trattato costituzionale della UE (approvato nel vertice di Bruxelles del 18 giugno 2004). Il Codice, quindi, ha confermato in Italia la costituzionalizzazione del diritto alla protezione dei dati personali, quale libertà fondamentale comune ai cittadini europei[133].
Nel medesimo tempo, però, con questo riconoscimento formale, è stata portata a compimento la lunga evoluzione dello stesso diritto che già risultava effettivo, anche se non formalmente riconosciuto, in forza dei vincoli imposti dalla giurisprudenza internazionale e comunitaria, ed in forza delle prime attuazioni legislative della direttiva 96/46/CE. In questo senso, inoltre, il legislatore ha sancito l’autonomia dogmatica del diritto alla protezione dei dati personali rispetto a categorie giuridiche differenti ma affini coltivate fino a quel momento dalla tradizione giuridica italiana (quali ad esempio la riservatezza)[134].
Corollario del riconoscimento esplicito del diritto alla protezione dei dati personali è il mantenimento, nel tessuto normativo, della logica del bilanciamento di interessi. La soluzione scelta, già nelle regole fondanti del Codice per garantire tale contemperamento, è quella di creare una disciplina per principi normativi[135].
Così, negli art. 2 e 3, il legislatore ha prescritto una serie di principi normativi nuovi che si collegano con quelli già introdotti dalla legislazione del 1996 e che l’art. 11 del Codice, poco oltre, definisce “modalità del trattamento”[136]. I nuovi principi sono quelli di “elevato livello di tutela dei diritti e delle libertà”, di “semplificazione, armonizzazione ed efficacia delle modalità”[137] per l’esercizio dei diritti e per l’adempimento degli obblighi dei soggetti coinvolti[138], nonché di “necessità nel trattamento”[139].
La scelta di garantire il diritto alla protezione dei dati personali attraverso principi giuridici, ma soprattutto bilanciando interessi contrapposti, ha condotto il legislatore a moltiplicare ed articolare i diritti e gli obblighi dei soggetti coinvolti nonché a scandirne i tempi e le modalità di realizzazione. Si è passati, cioè, da una tutela rimediale relativa ad un diritto di segno proprietario sui propri dati (come nella privacy) ad una tutela preventiva, dinamica e continua nel rapporto che intercorre tra titolare (e responsabile) del trattamento e soggetto interessato[140].
A questo proposito il legislatore, con riguardo innanzitutto ai diritti dell’interessato, ha dilatato la previsione unitaria dell’art. 13 della legge n. 675 del 1996 in un titolo autonomo composto da quattro articoli recanti disposizioni dettagliate[141].
Nell’art. 7 sono stati previsti, in maniera più pervasiva rispetto alla legislazione precedente, una serie di diritti dell’interessato riconducibili all’accesso ai dati, all’intervento modificativo sui dati, ed all’opposizione al trattamento[142].
In termini generali, l’azione dell’interessato non è diretta solo ad acquisire elementi di fatto relativi all’utilizzo dei propri dati personali ma ad esercitare una azione positiva per garantirne la conformità ai parametri più o meno generali di legge. Anche le facoltà di opposizione debbono essere ricondotte, non ad un generale potere di revoca della utilizzabilità dei propri dati, ma alla possibilità di fare valere ragioni personali che abbiano reso insostenibile e, quindi, non conforme ai principi generali del Codice, il trattamento originariamente lecito. Per converso, anche al titolare (ed al responsabile) del trattamento competono una serie di obblighi di facere volti a ricondurre il trattamento nei canoni della legittimità. Nel medesimo tempo il legislatore, negli articoli immediatamente seguenti, ha proposto una articolata serie di modalità e di misure per rendere effettivi i diritti di cui all’art. 7[143].
Ancora, appare interessante la riproposizione, all’art. 11, delle medesime modalità del trattamento già previste all’art. 9 della legge n. 675 del 1996. Nel nuovo quadro disciplinare, tuttavia, il legislatore ha avvertito la necessità di aggiungere un elemento nuovo tra le modalità: la sanzione esplicita della inutilizzabilità dei dati trattati in violazione della “disciplina rilevante in materia di trattamento dei dati personali”[144]. Come ha chiarito la dottrina, la nuova disposizione “traduce una sensibilità al nuovo diritto che non conosce solo una tutela di tipo rimediale e riparatore (risarcimento dei danni) ma preventiva a carattere inibitorio”[145].
Da queste disposizioni emerge chiaramente la volontà del Codice di garantire o consolidare nuove forme di tutela relazionali, procedimentali, preventive e dinamiche al diritto alla protezione dei dati personali. Il tutto attraverso un controllo in itinere della conformità del trattamento a parametri di liceità (più o meno generali) rigidamente vincolanti ed attraverso il principio del bilanciamento degli interessi contrapposti[146].
Il carattere dinamico della tutela del nuovo diritto si riflette sui caratteri della disciplina che deve essere secondo la migliore dottrina dinamica, partecipata ed efficace[147].
Già la direttiva 96/46/CE e la legge n. 675 del 1996 avevano avvertito la necessità che la disciplina recasse caratteri di elasticità, flessibilità e capacità di adattamento alle evoluzioni tecnologiche. Per questo avevano previsto Codici deontologici e di buona condotta, che avrebbero potuto concorrere a regolare, nell’ambito di vari settori, il trattamento dei dati personali.
In questo quadro, il Garante rivestiva il ruolo chiave di “incoraggiare l’adozione dei codici in fase di iniziativa, controllarne la conformità alle fonti eteronome durante la stesura e il rispetto in fase esecutiva”[148].
In attuazione di queste fonti il legislatore aveva implementato l’istituto prevedendo l’adozione dei codici in una serie determinata di settori specifici di attività. Inoltre, aveva attribuito a questi codici un vero e proprio valore giuridico regolamentare, stabilendo in particolare nell’art. 20 del d. legs. 467/2001 che “il rispetto delle disposizioni in essi contenute costituisce condizione essenziale per la liceità del trattamento dei dati” e che i codici venissero pubblicati in Gazzetta Ufficiale[149]. Veniva superata, in questo modo, la posizione della dottrina che considerava i c. d. codici di prima generazione (quelli della direttiva comunitaria e della prima legislazione italiana) come mere regole “endoassociative e come tali vincolanti solo per gli iscritti alle associazioni” che avevano contribuiti a formarli[150]. I codici, invece, acquisivano vero e proprio valore regolamentare erga omnes.
Il Codice, ora, coordinando le disposizioni precedenti, ha identificato, nell’art. 12, i codici di comportamento come strumento normativo di carattere generale, che può essere introdotto per provvedimento discrezionale del Garante, non solo in settori di attività specifici predeterminati dalla legge (come era in precedenza) ma in ogni ambito di trattamento di dati personali. Correlativamente, il Codice ne ha confermato il valore giuridico di fonti oggettive secondarie di applicabilità generale (valore giuridico che i codici avevano precedentemente solo in settori specifici). Nello stesso tempo, ad abundantiam il legislatore ha continuato ad imporre la promozione di codici di comportamento in ambiti specifici di attività di particolare rilevanza per il trattamento di dati personali[151].
Ne deriva una disciplina del trattamento che, nell’architettura del Codice, è stata demandata dalla fonte legislativa, anche in larga parte, ad una regolamentazione di efficacia generale ma di derivazione privata promossa, approvata e controllata nella sua attuazione ed adeguamento dall’autorità pubblica del Garante[152]. In questo modo, naturalmente, l’autorità indipendente ha acquisito una funzione centrale nella produzione della fonte secondaria.
Il carattere dinamico della normazione, in ogni caso, è stato confermato anche dal rinnovato ruolo complessivo attribuito dal Codice al Garante.
Il nuovo testo, infatti, coordinando le disposizioni del d. legs. n. 467 del 2001 che avevano ampliato poteri già conferiti al Garante dalla legislazione precedente, ha confermato, all’art. 154 l’attribuzione di prerogative di tutela e di un ventaglio di compiti (ulteriori a quelli di tutela sanciti dal Capo I della Parte III) che la dottrina identifica in “funzioni ordinatorie, di vigilanza, di monitoraggio e di ispezione nel campo della attuazione della legge. Si tratta di un fascio di poteri, in cui quelli normativi assumono la forma di fonti di produzione sublegislativa”[153].
Già alla luce di queste disposizioni è possibile attribuire al Garante un potere normativo generale di interpretazione ed attuazione dei principi e delle disposizioni codicistiche sul trattamento dei dati personali.
Tuttavia, la rinnovata importanza del Garante deriva anche da una serie di prescrizioni specifiche del Codice che attribuiscono un sostanziale potere normativo di attuazione delle disposizioni e dei principi posti dal legislatore.
Tra le prescrizioni più rilevanti possiamo ricordare innanzitutto quelle che hanno attribuito al Garante il compito di determinare modalità (semplificate) di esercizio dei diritti dell’interessato differenti rispetto a quelle determinate dalla legge in relazione a nuove soluzioni tecnologiche[154].
Ancora, il Garante può determinare modalità semplificate nella informativa di cui all’art. 13 del Codice e può determinare, quando i dati non vengano raccolti presso l’interessato, i casi nei quali l’informativa non è dovuta perché comporterebbe un impiego di mezzi “manifestamente sproporzionati rispetto al diritto tutelato”[155].
Al Garante è poi stata attribuita la funzione di prevedere le “misure e gli accorgimenti” che debbono essere osservati nel trattamento dei dati c. d. semisensibili, cioè quelli che pur “diversi da quelli sensibili e giudiziari” presentano “rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell’interessato, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare”[156]. In questo caso il Garante identifica in via preventiva trattamenti di dati particolarmente rischiosi in ordine alla violazione dei diritti della persona e li sottopone ad sua regolamentazione preventiva generale (oltre che ad una verifica preliminare relativa al singolo trattamento)[157]. 
Ancora, il Garante determina sostanzialmente i dati sensibili e giudiziari che possono essere trattati dai soggetti pubblici nell’esercizio delle proprie funzioni istituzionali[158]. Ed autorizza il trattamento dei dati sensibili e giudiziari ad opera dei soggetti privati[159].
Di notevole interesse è anche la possibilità che è stata attribuita alla autorità amministrativa di determinare  i casi nei quali il trattamento dei dati personali può essere realizzato anche senza il consenso dell’interessato perché diretto al perseguimento di “un legittimo interesse del titolare o di un terzo destinatario dei dati, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse dell’interessato”[160]. In questo modo, al Garante è stata attribuita un’importante funzione di bilanciamento di interessi contrapposti e di scelta di posizioni soggettive prevalenti che legittimano ex se il trattamento. All’autonomia normativa dell’amministrazione, quindi, è stato attribuito il compito di integrare sostanzialmente il dettato legislativo, ampliando i casi nei quali il consenso dell’interessato non è condizione essenziale del trattamento dei dati.
Da ultimo, al Garante è stato attribuito il compito di prevedere casi ulteriori rispetto a quelli indicati nel Codice nei quali i trattamenti sono consentiti previa notificazione all’amministrazione indipendente perché “suscettibili di recare pregiudizio ai diritti e alle libertà dell’interessato, in ragione delle relative modalità o della natura dei dati personali”. Del pari allo stesso Garante è stata attribuita la facoltà di individuare “eventuali trattamenti non suscettibili di recare detto pregiudizio e pertanto sottratti all’obbligo di notificazione”[161].
Dagli elementi normativi di novità che abbiamo preso in esame risultano alcune scelte legislative rilevanti per i caratteri della giuridicizzazione della protezione dei dati personali.
Innanzitutto, il diritto alla protezione dei dati personali si configura come “un diritto fondamentale nuovo ed autonomo” che si distingue dalle più tradizionali forme di protezione proprietaria del rispetto della “vita privata e personale”[162]. Così si coglie qui “il punto d’arrivo di una lunga evoluzione del concetto di privacy, dall’originaria sua definizione come diritto ad essere lasciato solo fino al diritto di mantenere il controllo delle proprie informazioni e di determinare le modalità della costruzione della propria sfera privata. Si contribuisce in maniera determinante al processo di “costituzionalizzazione della persona”[163].
Nel medesimo tempo, il diritto alla protezione dei dati personali non può essere identificato come un nuovo diritto frutto della civiltà tecnologica, che si aggiunge agli altri già presenti nell’ordinamento. Si tratta, invece, di una posizione soggettiva che rappresenta, nella dimensione tecnologica della società, una “precondizione per il pieno godimento di altri diritti fondamentali”[164]. Quasi a configurare il prisma nel quale si rifrangono i diritti di carattere costituzionale tradizionali.
In questo senso, il diritto alla protezione dei dati personali non è una posizione soggettiva con un contenuto nuovo imposto da nuove esigenze di protezione per il progresso della tecnologia. E’, invece, un nuovo modello di tutela, dei diritti e delle libertà fondamentali già acquisite al nostro patrimonio giuridico, adeguato alla società dello sviluppo tecnologico (soprattutto informatico)[165].
Si tratta poi di un diritto di carattere costituzionale che nasce in una dimensione transnazionale europea come il frutto di un processo di “universalizzazione e integrazione su base transnazionale del sistema dei diritti tipico del costituzionalismo cooperativo o multilevel[166]“. In questo senso appare evidente il nesso di derivazione con la elaborazione giurisprudenziale comunitaria ed europea.
Questi caratteri del diritto alla protezione dei dati personali si riflettono sulle forme di protezione scelte dal legislatore italiano e comunitario.
Si tratta di forme di tutela non di carattere rimediale legate esclusivamente alla figura dell’illecito e della responsabilità, ma di forme di tutela preventiva e dinamica che, come abbiamo visto, alcuni autori hanno definito procedimentale.
Ed infatti i principi del Codice, ma anche le sue prescrizioni di dettaglio, si traducono nella previsione di contenuti, modalità, limiti e sequenze procedimentali nell’esercizio dei diritti e nell’adempimento degli obblighi che trovano origine nel rapporto di trattamento dei dati personali. Secondo parte della dottrina, a questo riguardo, il Codice introdurrebbe un controllo in itinere del trattamento delle informazioni[167].
Proprio questa disciplina dinamica e procedimentale rende possibile il bilanciamento degli interessi contrapposti e l’utilizzo secondo canoni di liceità dei dati personali.
In ogni caso, la protezione secondo moduli procedimentali del diritto non conduce alla modifica della qualificazione giuridica della relazione tra titolare del trattamento e soggetto interessato, che rimane  un rapporto con reciproci diritti e obblighi. Correlativamente non vengono trasfigurate le posizioni soggettive delle parti del rapporto[168], nessuna delle quali acquisisce una posizione di supremazia speciale o di potere in grado di modificare unilateralmente le posizioni altrui (né tantomeno nessuna posizione soggettiva si affievolisce al rango di interesse legittimo): la capacità di trattare i dati personali e quella di imporre delle condizioni al trattamento rimangono dei diritti corrispettivi, vincolati a specifici presupposti di fatto e di diritto.
Ciò è confermato dalla rilevanza del consenso come condizione di liceità formalmente primaria per l’utilizzo dei dati.
Da ciò deriva che i principi e le regole del trattamento dei dati personali non si configurano, pur in una dimensione procedimentale, come norme per l’esercizio di una funzione per la realizzazione di un potere costitutivo o di un interesse soggettivo. Siamo invece di fronte a clausole generali che fissano regole di svolgimento di un rapporto che parte autorevole della dottrina qualifica come obbligatorio [169].
Il procedimento di trattamento, quindi, non come “forma di una funzione”[170], ma come regola di interazione tra soggetti in un rapporto, per mantenerlo nell’equilibrio (predefinito dalla legge ed attuato dalle scelte prescrittive della autorità amministrativa) dei rispettivi interessi.
Configurata in questi termini, la tutela procedimentale viene utilizzata dal Codice come modello uniforme e viene applicato anche ai rapporti tra soggetti pubblici e soggetti privati.
Infatti, anche quando è l’amministrazione pubblica a trattare i dati personali si instaura tra titolare ed interessato lo stesso rapporto segnato da reciproci diritti ed obblighi e da forme di protezione procedimentale. Viene meno soltanto la necessità consenso, ma ciò è dovuto al fatto che l’amministrazione opera in attuazione del principio fondamentale stabilito dall’art. 24 secondo il quale il consenso non è dovuto quando il trattamento è diretto ad adempiere un obbligo di legge. E, come è noto, la doverosità nell’attività di esecuzione della legge è caratteristica fondamentale della azione amministrativa.
Ma i caratteri del nuovo diritto alla protezione dei dati personali si riflettono anche sui caratteri della attività normativa.
Il legislatore, come detto, persegue una disciplina dinamica, efficace ed adeguata al contesto tecnologico, ma, soprattutto, al bilanciamento degli interessi.
La soluzione fondamentale è quella di spostare il baricentro della produzione normativa e trasferirlo da fonti di produzione legislativa a fonti secondarie (ma anche a provvedimenti quali le autorizzazioni generali o le linee guida) emanate da una autorità indipendente.
Il legislatore, peraltro, ha sottoposto la disciplina regolamentare alle sole regole ai soli principi generali del bilanciamento degli interessi cristallizzati nel Testo Unico. Così, i codici etici e, più in generale, le disposizioni (normative e provvedimentali generali) del Garante appaiono come fonti sub primarie alle quali è demandata l’effettiva competenza normativa sostanziale in materia di trattamento dei dati personali e di bilanciamento di interessi contrapposti[171].
Da ciò deriva un’ulteriore importante conseguenza: mentre nella normazione legislativa la rappresentanza degli interessi viene affidata, appunto, agli organi parlamentari rappresentativi, nella normazione del Garante la rappresentanza degli interessi viene affidata alla partecipazione procedimentale.
In sostanza, per il legislatore, la protezione della persona nella società dello sviluppo tecnologico deve essere garantita da una normativa elaborata in maniera cooperativa dall’amministrazione (che dovrà darle attuazione) e dalle parti sociali interessate, nell’ambito del contraddittorio garantito dal procedimento amministrativo.
Correlativamente, nella dimensione dei diritti della persona nella società tecnologica, le nuove frontiere della rappresentanza politico-normativa paiono passare per gli strumenti di partecipazione della funzione normativa della amministrazione, piuttosto che per gli strumenti della rappresentatività tradizionale delle istituzioni politico-legislative.
 
6. Conclusioni
 
Alla luce delle considerazioni svolte è possibile trarre alcune considerazioni relative ai caratteri del processo di giuridificazione della protezione dei dati personali.
Dal punto di vista cronologico, il consolidamento dell’istituto appare lento e progressivo. Il suo punto di origine può essere identificato nella creazione dottrinale della privacy statunitense alla fine dell’Ottocento, ma gli elementi fondamentali della figura sono stati definiti, in maniera uniforme, nella dimensione europea, molto più tardi, a partire dagli anni ottanta del Novecento, dalla giurisprudenza della Corte Europea dei Diritti dell’Uomo e, successivamente, della Corte di Giustizia dell’Unione Europea. Solo più tardi, con la direttiva del 1994, il legislatore comunitario ha completato la definizione del sistema normativo della protezione dei dati personali. Nel nostro ordinamento, la giuridificazione dell’istituto è avvenuta in via legislativa in due fasi: la legge del 1996 ed il Codice del 2003.
La definizione dell’apparato normativo è avvenuta in via legislativa. Tuttavia, come anticipato, l’elaborazione sostanziale dei principi e delle regole fondamentali è stata frutto di una lunga stratificazione giurisprudenziale. In Italia, come negli altri paesi europei, l’implementazione delle norme è stata poi demandata a fonti di produzione di carattere amministrativo, elaborate attraverso procedure partecipate con i soggetti interessati. Si è trattato, in ogni caso, sempre di fonti di produzione di carattere positivo (hard law).
Il sistema normativo di protezione dei dati personali è stato creato da istituzioni europee e si è configurato come sistema sostanzialmente uniforme nella dimensione continentale. Il legislatore italiano ha riproposto le scelte fondamentali del legislatore comunitario (determinate a propria volta da input giurisprudenziali) superando e, per così dire, tagliando fuori, le ricostruzioni della dottrina e della giurisprudenza domestiche, che facevano riferimento a differenti figure giuridiche e che hanno perso via via rilevanza.
Ancora oggi la disciplina comunitarie e la legislazione italiana appaiono legate da un nesso di derivazione. In particolare, il Codice ha recepito le logiche ed i meccanismi fondamentali della protezione dei dati personali, e, correlativamente, si pone quale normativa di attuazione dei principi comunitari e di loro integrazione in relazione al contesto normativo complessivo italiano. Traspare, peraltro, l’intenzione del legislatore di assumere il ruolo di fonte in grado di ampliare, in ambito nazionale, gli standard di protezione garantiti in ambito comunitario. In tal modo intende la propria normativa sulla protezione dei dati personali come diretta a garantire la effettività del diritto alla protezione dei dati personali quale libertà fondamentale del cittadino.
Carattere ulteriore della disciplina italiana è quella di un progressivo ampliamento quantitativo per regolare in maniera articolata tutti i settori della attività umana. Questa scelta di politica del diritto appare condivisibile, ma costringe il legislatore, ed i soggetti chiamati ad implementare la disciplina, ad evitare il rischio della frammentazione. Allo stato, il rischio pare essere stato evitato, infatti, i vari ambiti specialistici di disciplina appaiono comunque come momenti di attuazione dei principi e delle regole fondamentali della Parte Generale del Codice in un quadro organico.
Nella dimensione europea la protezione dei dati personali ha trovato una giuridificazione uniforme. Ciò è determinato dal fatto che l’istituto nasce in via giurisprudenziale come una forma di protezione della persona e delle sue libertà fondamentali, indipendentemente dalla cittadinanza o nazionalità. Il legislatore comunitario ha proseguito su questa strada, ma ha voluto creare una normativa in grado di armonizzare le prerogative fondamentali dell’individuo con i diritti di iniziativa economica, anche a garanzia della concorrenza. Anche in questo caso, tuttavia, l’uniformità della disciplina costituisce un elemento imprescindibile per la sua efficacia. Naturalmente, alle normativa locali è demandato un ruolo di attuazione, coordinamento ed integrazione degli orientamenti normativi comunitari.
In considerazione del fatto che la protezione dei dati personali è diretta a garantire ed armonizzare le libertà fondamentali e i diritti di iniziativa economica del cittadino nel segno della concorrenza come strumento di sviluppo economico generale, l’obbiettivo della uniformità della regolamentazione appare senz’altro auspicabile.
Nella normativa comunitaria, e nella successiva positivizzazione nella legislazione italiana, vengono valorizzati strumenti di protezione di derivazione civilistica: da un lato le prerogative dei soggetti interessati e dei soggetti che realizzano il trattamento di dati personali sono identificate in termini di diritti soggettivi, dall’altro i rimedi alle violazioni dei diritti sono rappresentati da forme di responsabilità extracontrattuale. Parte della dottrina tende a configurare, addirittura, il rapporto tra i soggetti coinvolti nel trattamento dei dati come un rapporto obbligatorio.
Si tratta di strumenti di riconoscimento delle situazioni soggettive e di tutela di carattere generale, che valgono, in altri termini, sia nei confronti di soggetti privati sia nei confronti di soggetti pubblici deputati allo svolgimento di funzioni di interesse generale.
L’istituto della protezione dei dati personali sembrerebbe riconducibile ad una dimensione squisitamente civilistica.
Il quadro, tuttavia, è complicato da una serie di fattori.
Innanzitutto il legislatore demanda la protezione delle situazioni soggettive, non solo a meccanismi rimediali, ma anche a dinamiche procedimentali, che garantiscano che i diritti e i doveri reciproci trovino attuazione in conformità ai principi generali del Codice, ovvero, in altri termini, si realizzino in maniera tale da rendere possibile una composizione degli interessi contrapposti degli operatori economici e delle persone a cui si riferiscono i dati personali.
Queste dinamiche procedimentali non trasfigurano, però, le relazioni tra i soggetti, che continuano a presentarsi come fattispecie a formazione progressive di trattamento attraverso la realizzazione di diritti e obblighi reciproci. Tuttavia, questi nuovi meccanismi di tutela implicano l’intervento positivo di un soggetto amministrativo indipendente chiamato a dare attuazione alle regole generali attraverso la realizzazione di una funzione normativa partecipata o attraverso la realizzazione, nei rapporti specifici, di una funzione paragiurisdizionale di tutela dei diritti della persona a cui si riferiscono i dati.
In altre parole, la disciplina della protezione dei dati personali implica una conformazione costante dei rapporti ad un equilibrio di interessi contrapposti, equilibrio garantito da un soggetto amministrativo terzo attraverso l’attuazione delle prescrizioni legislative con atti di autonomia amministrativa o con interventi provvedimentali giustiziali.
Elemento di “chiusura” del sistema, poi, è rappresentato dalla competenza giurisdizionale del giudico ordinario in ordine ai provvedimenti dell’amministrazione, in ordine alle fattispecie di risarcimento del danno e, più in generale, in ordine ad ogni violazione della legge (in questo caso alternativa alla funzione giustiziale dell’autorità).
In sostanza, la legislazione italiana (come quella comunitaria) postula l’esistenza di una funzione di regolazione, demandata ad una amministrazione pubblica indipendente, che renda compatibili, nelle varie attività sociali e nei vari casi concreti, posizioni soggettive di libertà personali fondamentali e posizioni soggettive di iniziativa economica.
Questa regolazione, ascrivibile alla dimensione pubblicistica, reca in sé indubbi elementi di novità.
Si tratta di una regolazione chiamata a conformare l’esercizio di reciproci diritti ed obblighi di carattere civilistico radicati in rapporti di trattamento di dati personali, per renderlo conforme ai principi fondamentali della materia.
Questa attività di regolazione si realizza, in prima battuta, attraverso provvedimenti generali frutto di procedure che hanno nella partecipazione la loro caratteristica primaria e fondamentale e che, per questo, garantiscano la previsione di regole efficaci, adeguate al contesto sociale, ma anche rappresentative degli interessi delle parti. Ma la regolazione si realizza anche attraverso interventi paragiurisdizionali che conformano, nel caso concreto, l’esercizio delle posizioni soggettive ai medesimi principi fondamentali.
In entrambe le situazioni, l’autorità amministrativa interviene a conformare una relazione giuridica che si articola progressivamente nella successione procedimentale di atti di esercizio di diritti e di adempimento di obblighi. Il procedimento, però, non è, in questi casi, lo strumento per esercitare una funzione pubblica ma per garantire, attraverso una fattispecie a formazione progressiva, la composizione equilibrata degli interessi delle parti nel segno dei principi di legge.
Il procedimento rimane strumento di partecipazione e di contemperamento di interessi senza la presenza di un vero e proprio provvedimento, e senza la ridefinizione delle pretese soggettive delle parti in qualcosa di diverso di reciproci diritti e obblighi.
Le peculiarità della dimensione pubblicistica della normativa incide anche sui contenuti della giurisdizione del giudice ordinario, intesa come elemento di chiusura del sistema.
Nel valutare la violazione delle regole del Codice, e nell’applicare le conseguenti forme di responsabilità risarcitoria, il giudice dovrà applicare una normativa composta in gran parte di scelte di regolazione discrezionali dell’amministrazione, che rappresentano una prima e fondamentale attuazione dei principi generali della legge.
Inoltre, il giudice ordinario, nel valutare la legittimità dei provvedimenti dell’autorità indipendente, è chiamato ad operare un sindacato sugli apprezzamenti discrezionali con i quali l’amministrazione ha contemperato interessi contrapposti di segno personale e di segno economico-imprenditoriale. Il tutto tutelando posizioni di diritto soggettivo, ma anche, di interesse legittimo, relative, queste ultime, alla pretesa del ragionevole esercizio dei poteri discrezionali dell’autorità nel contemperare interessi contrapposti
Quindi, la normativa appare composta sia da elementi di derivazione civilistica, rappresentati dalla qualificazione in termini di diritti delle posizioni soggettive e dalla qualificazione in termini di responsabilità dei rimedi, sia da elementi di derivazione pubblicistica, fortemente originali, rappresentati dalla funzione pubblicistica di regolazione delle relazioni tra soggetti interessati. Più che di forme di passaggio da sistemi di tutela civilistici e sistemi di tutela pubblicistici e viceversa, sembra potersi parlare di un sistema normativo composto ed innovativo.
Per concludere, dobbiamo interrogarci sul ruolo rivestito dallo sviluppo scientifico e tecnologico nella positivizzazione della disciplina della protezione dei dati personali.
Pare possibile affermare, a questo proposito, che l’introduzione di strumenti di catalogazione sistematica di dati personali (c. d. data bases) in sé non abbia rivestito un ruolo essenziale.
Ben più rilevante pare essere stata la informatizzazione sistematica delle attività imprenditoriali e la messa a disposizioni di strumenti di circolazione informativa di dati di ogni natura. In altri termini, l’evoluzione tecnologica ed informatica, ha imposto la diffusione, la circolazione e l’utilizzo delle informazioni (anche di natura personale) come strumento necessario alla attività economica, ma anche ad ogni altro tipo di attività nella dimensione sociale.
Il contatto tra soggetti che svolgono funzioni economiche, imprenditoriali, sociali e persone fisiche implica necessariamente l’utilizzo, più o meno automatizzato, di informazioni personali. Per questo, il trattamento del dato personale diviene il primo strumento di condizionamento della libertà personale.
La libertà personale, quindi, deve essere tutelata primariamente proprio nei confronti di queste forme di aggressione, che debbono essere rese tollerabili sul piano personale e sostenibili sul piano sociale, senza dare corso a nuovi e moderni fenomeni di subordinazione sociale dell’individuo.
Lo sviluppo tecnologico, allora,  conduce all’elaborazione, più che di nuovi diritti con nuovi ed autonomi fondamenti sostanziali, a nuove forme di protezione delle libertà costituzionali classiche: in sostanza, il diritto alla protezione dei dati personali come nuovo strumento di protezione dei diritti civili e sociali classici della persona imposto dalle nuove modalità tecnologiche di svolgimento delle attività umane.
 
Il processo di giuridificazione della data protection pone in luce anche i caratteri assunti dal diritto alla protezione dei dati personali nel nostro ordinamento.
Innanzitutto, il diritto si risolve nella pretesa che il trattamento dei dati si realizzi nell’osservanza di un complesso di regole che ne disciplinano i presupposti di diritto e le modalità, nonché impongono una serie di diritti ed obblighi “funzionali” al corretto utilizzo delle informazioni. Così, il diritto alla protezione dei dati personali si distingue dal diritto alla riservatezza che si è consolidato nella tradizione giuridica italiana ed assume caratteri assolutamente propri e peculiari.
Ancora, la disciplina generale del diritto contenuta nel Codice (ma anche nell’ordinamento comunitario), identifica in termini meramente formali i presupposti di liceità del trattamento, rinviando ad altre fonti la loro definizione sostanziale concreta. Come abbiamo già chiarito, infatti, i presupposti giuridici del trattamento sono rappresentati, da un lato, dalle condizioni di liceità dell’utilizzo delle informazioni (il consenso, ma anche l’adempimento di un obbligo di legge, l’utilizzo di pubblici registri nelle modalità di legge, il legittimo interesse di chi utilizza i dati, ecc…) e, dall’altro, da una serie di loro modalità (la liceità, la necessità, la correttezza, la temporaneità, ecc…). In entrambi i casi, peraltro, si fa riferimento a clausole generali che non possono che essere concretizzate, nelle specifiche fattispecie, attraverso il riferimento alle regole dell’ordinamento generale.
A ciò si aggiunga che la protezione dei dati personali si realizza, non solo attraverso l’applicazione di regole e principi, ma, come abbiamo visto, anche attraverso sequenze procedimentali di esercizio dei diritti e di adempimento degli obblighi previsti, quasi a configurare un controllo in itinere del trattamento.
Proprio la previsione di una disciplina di carattere procedimentale, articolata in regole e principi generali, conduce alla tutela del diritto alla protezione dei dati personali esclusivamente attraverso il bilanciamento, nel procedimento, di interessi sostanziali contrapposti riconosciuti dall’ordinamento. La liceità del trattamento dei dati si traduce, così, nel contemperamento di posizioni soggettive contrapposte interessate dall’attività di trattamento, dall’iniziativa economica alla salute.
Da queste considerazioni risulta che il diritto alla protezione dei dati personali è una posizione soggettiva essenzialmente “strumentale”. Infatti, la realizzazione del suo oggetto – rappresentato da un trattamento dei dati personali giuridicamente corretto perché conforme alla disciplina di legge (con le sue regole, i suoi principi, i suoi diritti ed obblighi specifici) – costituisce lo strumento per l’attuazione delle libertà e dei diritti fondamentali della persona garantiti dal legislatore mediante questo articolato meccanismo di tutela. Così, per altro verso, nella misura in cui le prescrizioni sul trattamento vengano applicate, anche per il tramite dell’azione dell’amministrazione, si realizzano i diritti fondamentali della persona. Peraltro, anche il diritto all’utilizzazione dei dati personali risulta strumentale alla realizzazione delle pretese soggettive e degli interessi sostanziali riconducibili a chi effettua il trattamento.
Infine il diritto alla protezione dei dati personali appare collegato, come abbiamo visto, a posizioni di interesse legittimo relative alla modalità di svolgimento delle funzioni regolatorie della Autorità amministrativa indipendente.
 
Dopo avere delineato i caratteri del processo di giuridificazione pare possibile indicarne gli esiti e i possibili sviluppi nel contesto giuridico e sociale, pur per sommi capi.
Come abbiamo visto, il processo ha condotto al passaggio da una tutela proprietaria della propria sfera personale a meccanismi di garanzia del diritto alla protezione dei dati personali.
La c. d. data protection non esclude l’invasione della sfera personale determinata dall’utilizzo delle informazioni soggettive, ma la consente secondo canoni di sostenibilità. La disciplina si traduce, quindi, in forme di bilanciamento (amministrativo-regolatorio o giurisdizionale) degli interessi coinvolti. Si tratta da un lato di interessi personali, economici, sociali, culturali ecc… che impongono il trattamento, dall’altro di interessi della stessa natura che tendono a limitarlo.
Nel medesimo tempo la disciplina della protezione dei dati personali impone che il trattamento delle informazioni avvenga per realizzare interessi giuridicamente rilevanti, ma non si occupa di prevedere un fondamento giuridico a questi ultimi, qualificandoli come meritevoli di tutela. Questo compito è rimesso al legislatore che detta le regole dell’ordinamento giuridico e costituzionale generale. In sostanza, la data protection bilancia gli interessi giuridici previsti aliunde, come leciti e giuridicamente fondati. Per questo appare una normativa neutra rispetto agli stessi interessi che deve solamente armonizzare.
Il diritto alla protezione dei dati personali, quindi, nel moderno sistema sociale tecnologico, appare come una posizione soggettiva che costituisce il presupposto per esercitare diritti classici (legati ad interessi giuridicamente rilevanti), già previsti dall’ordinamento nella dimensione del trattamento dei dati, come il diritto alla iniziativa economica, alla salute, alla libertà personale nelle sue varie declinazioni. In questo quadro appare superata – perché incompatibile con il nuovo sistema di protezione – la riservatezza intesa come sfera di riserbo sui propri fatti personali fine a se stessa, ovvero come privacy nella sua primordiale accezione.
In questo senso, la normativa sulla protezione dei dati personali appare come una disciplina generale, o meglio, trasversale, come tale in grado di interessare tutti i settori della vita sociale e tutte le attività dei soggetti pubblici e privati.
Così, la data protection, con i suoi meccanismi di bilanciamento, coinvolge e condiziona una serie di interessi giuridici classici, come i diritti della persona, l’iniziativa economica, la sicurezza e l’ordine pubblico, i diritti di informazione, e, nella dimensione squisitamente pubblicistica, l’accesso ai documenti amministrativi e la trasparenza dell’agire pubblico.
Non è possibile in questa sede porre in luce i possibili esiti di questo coinvolgimento. Tuttavia, è possibile considerare che l’efficacia del sistema normativo dipenderà in gran parte dalla sua applicazione come meccanismo diretto a garantire la ponderazione e la compatibilità di interessi soggettivi sostanziali già qualificati come giuridicamente rilevanti per l’ordinamento generale.
In altri termini, la normativa non deve essere considerata come insieme di meccanismi di attuazione di un interesse considerato prevalente in via pregiudiziale, pena la disattivazione degli stessi meccanismi di protezione. Più precisamente non può essere considerato uno strumento di reazione sistematica nei confronti di ogni attività, evidentemente lecita per l’ordinamento, che implica l’utilizzo di informazioni personali.
Così, la disciplina della protezione dei dati personali non deve essere considerata come una moderna tutela del diritto alla riservatezza (intesa, come fa la nostra giurisprudenza, quale privacy nella sua versione originaria di riserbo sui fatti della sfera personale) da fare prevalere sempre in ogni ipotesi di trattamento, frustrando sistematicamente gli interessi contrapposti ed impedendo che la normativa e la regolazione operino quali strumento di mediazione degli interessi coinvolti.
Simmetricamente, i meccanismi di data protection non dovranno essere considerati disciplina di secondo piano e cedevole di fronte a sistemi normativi tradizionali (e, occorre dirlo, più nitidi nella loro struttura e funzione) quali quelli, in ambito pubblico, diretti a garantire la trasparenza dell’azione amministrativa o i poteri di gestione del rapporto di lavoro ad opera dell’imprenditore.
Insomma, i soggetti istituzionali chiamati all’attuazione del sistema dalla protezione dei dati personali, per dare reale attuazione alla normativa, dovranno esercitare i propri poteri di discrezionalità legislativa ed amministrativa senza pregiudizi, per garantire, nei vari settori di attività sociale, la coesistenza “sostenibile” e conforme ai principi costituzionali di pretese contrapposte.
In questo quadro un ruolo fondamentale è attribuito al Garante per  la protezione dei dati personali, che dovrà essere consapevole del proprio ruolo di mediazione e dovrà esercitarlo valendosi degli strumenti di partecipazione dei soggetti sociali interessati messi a disposizione dall’ordinamento.
 
 
 
 
 
 
 
 
 

A giudizio della Corte costituzionale, la vigente normativa statale che sovraintende al mutamento dei caratteri sessuali a fini anagrafici non è incostituzionale. Anzi è in grado di tutelare adeguatamente il diritto dell’individuo al cambiamento identitario bilanciandolo con il valore della certezza dei rapporti giuridici.
Vediamo perché. La l. n. 164 del 1982 prevede che “la rettificazione si fa in forza di sentenza del tribunale passata in giudicato che attribuisca ad una persona sesso diverso da quello enunciato nell’atto di nascita a seguito di intervenute modificazioni dei suoi caratteri sessuali” (art. 1, comma 1).
 
Sul punto, la Corte costituzionale è stata chiamata a verificare l’illegittimità delle previsioni legislative in questione nella misura in cui sembrerebbero rendere necessaria “l’intervenuta modificazione dei caratteri sessuali primari attraverso trattamenti clinici altamente invasivi” per permettere la rettificazione sessuale, violando così non solo gli artt. 2, 3, 32 e 117 della Costituzione, ma anche l’art. 8 della CEDU ossia il diritto al rispetto della vita privata e familiare[1].
 
Al riguardo, il Giudice delle leggi prende atto del tenore letterale delle norme statali, che sembrerebbe rendere il fatto del mutamento fisico dei caratteri sessuali necessario ai fini della rettifica, ma definisce una interpretazione delle previsioni costituzionalmente compatibile e diversa da quella del giudice remittente[2].
 
Secondo la Corte costituzionale, “il trattamento chirurgico costituisce uno strumento eventuale, di ausilio al fine di garantire, attraverso una tendenziale corrispondenza dei tratti somatici con quelli del sesso di appartenenza, il conseguimento di un pieno benessere psichico e fisico della persona”.
 
Insomma, per il Giudice delle leggi “l’esclusione del carattere necessario dell’intervento chirurgico ai fini della rettificazione anagrafica appare il corollario di un’impostazione che − in coerenza con supremi valori costituzionali − rimette al singolo la scelta delle modalità attraverso le quali realizzare, con l’assistenza del medico e di altri specialisti, il proprio percorso di transizione, il quale deve comunque riguardare gli aspetti psicologici, comportamentali e fisici che concorrono a comporre l’identità di genere. L’ampiezza del dato letterale dell’art. 1, comma 1, della legge n. 164 del 1982 e la mancanza di rigide griglie normative sulla tipologia dei trattamenti rispondono all’irriducibile varietà delle singole situazioni soggettive”.
 
L’esclusione del carattere necessario dell’intervento chirurgico ai fini della rettificazione anagrafica appare il corollario di un’impostazione che − in coerenza con supremi valori costituzionali − rimette al singolo la scelta delle modalità attraverso le quali realizzare, con l’assistenza del medico e di altri specialisti, il proprio percorso di transizione, il quale deve comunque riguardare gli aspetti psicologici, comportamentali e fisici che concorrono a comporre l’identità di genere. L’ampiezza del dato letterale dell’art. 1, comma 1, l. n. 164 del 1982 e la mancanza di rigide griglie normative sulla tipologia dei trattamenti rispondono all’irriducibile varietà delle singole situazioni soggettive.
 
Insomma – sono parole della Corte costituzionale nella sentenza in esame – “il ricorso alla modificazione chirurgica dei caratteri sessuali risulta, quindi, autorizzabile in funzione di garanzia del diritto alla salute, ossia laddove lo stesso sia volto a consentire alla persona di raggiungere uno stabile equilibrio psicofisico, in particolare in quei casi nei quali la divergenza tra il sesso anatomico e la psicosessualità sia tale da determinare un atteggiamento conflittuale e di rifiuto della propria morfologia anatomica. La prevalenza della tutela della salute dell’individuo sulla corrispondenza fra sesso anatomico e sesso anagrafico, porta a ritenere il trattamento chirurgico non quale prerequisito per accedere al procedimento di rettificazione – come prospettato dal rimettente –, ma come possibile mezzo, funzionale al conseguimento di un pieno benessere psicofisico. Il percorso ermeneutico sopra evidenziato riconosce, quindi, alla disposizione in esame il ruolo di garanzia del diritto all’identità di genere, come espressione del diritto all’identità personale (art. 2 Cost. e art. 8 della CEDU) e, al tempo stesso, di strumento per la piena realizzazione del diritto, dotato anch’esso di copertura costituzionale, alla salute”.
 
La pronuncia in questione ha i caratteri tipici della sentenza interpretativa di rigetto ossia di quella decisione con la quale la Consulta fornisce una esegesi delle norme che non è solo costituzionalmente compatibile – e in questo modo salva la norma dalla declaratoria di illegittimità costituzionale – ma in qualche modo determina in modo autentico la portata normativa della previsione adeguandola al contesto normativo sovraprimario[3].
 
In ogni modo, la pronuncia ha caratteri certamente innovativi e additivi rispetto alla previsione formale nella misura in cui non solo definisce – e quindi in un certo senso “impone” – una lettura delle norme. Considerato che non siamo in presenza di una molteplicità di letture possibili delle previsioni ma di due sole ipotesi (la scelta è  semplicemente tra necessità o meno del cambiamento fisico ai fini della rettifica della sessualità), la Corte costituzionale chiarisce che il legislatore non può richiedere il mutamento del requisito fisico (invasivo fisicamente e lesivo del diritto) per il cambio di sesso. La previsione in esame, dunque, ben oltre il mero tenore letterale, deve intendersi nel senso della eventualità del mutamento fisico.
 
D’altronde, l’incipit dell’argomentazione di merito e l’immagine della “strada” interpretativa sottolineano il profilo diacronico e mutevole delle scelte normative in un settore così delicato, un settore per il quale la norme statale sub iudice “costituisce l’approdo di un’evoluzione culturale ed ordinamentale volta al riconoscimento del diritto all’identità di genere quale elemento costitutivo del diritto all’identità personale, rientrante a pieno titolo nell’ambito dei diritti fondamentali della persona (art. 2 Cost. e art. 8 della CEDU)”.
 
Dietro la pronuncia della Corte costituzionale si sente il respiro del diritto vivente che già aveva dato segnali di incombenza nella giurisprudenza ordinaria. La pronuncia, difatti, ricorda la più risalente giurisprudenza costituzionale sia la più recente casistica della Suprema Corte di Cassazione. Nel primo caso ricorda la sent. n. 161 del 1985 che aveva già “indicato la strada” allorché aveva precisato che la norma di legge riguardasse “tutte le ipotesi di rettificazione giudiziale dell’attribuzione di sesso, in quanto accertato diverso da quello enunciato nell’atto di nascita, a seguito di intervenute modificazioni dei caratteri sessuali dell’interessato, senza, peraltro, che il disposto in esame prenda in considerazione il modo in cui le modificazioni medesime si sono verificate, se naturalmente ovvero a seguito di intervento medico-chirurgico”; nel secondo ricorda la recente giurisprudenza della Suprema Corte per cui la scelta di sottoporsi alla modificazione chirurgica dei caratteri sessuali non può che essere il risultato di “un processo di autodeterminazione verso l’obiettivo del mutamento di sesso” e “la complessità del percorso, in quanto sostenuto da una pluralità di presidi medici […] e psicologici mette ulteriormente in luce l’appartenenza del diritto in questione al nucleo costitutivo dello sviluppo della personalità individuale e sociale, in modo da consentire un adeguato bilanciamento con l’interesse pubblico alla certezza delle relazioni giuridiche”. Per il Giudice costituzionale, quindi, “il ricorso alla chirurgia costituisce uno dei possibili percorsi volti all’adeguamento dell’immagine esteriore alla propria identità personale, come percepita dal soggetto”[4].
 
Come noto la dottrina ha ampiamente affrontato la questione del diritto vivente. Nel caso di specie, si tratta di una vera e propria sentenza correttiva ossia di una decisione con la quale il Giudice costituzionale fa valere l’interpretazione conforme a Costituzione giurisprudenzialmente prevalente contro l’interpretazione fornita dal giudice a quo che si rileva non solo difforme ma manche potenzialmente illegittima dal punto di vista costituzionale.
 
L’argomentazione svolta del Giudice delle leggi sulla questione di ammissibilità del giudizio parla chiaro. Non a caso, nella pronuncia in esame, si prende atto da un lato del “tentativo, in concreto effettuato dal giudice a quo, di utilizzare gli strumenti interpretativi a sua disposizione per verificare la possibilità di una lettura alternativa della disposizione censurata, eventualmente conforme a Costituzione”. Tuttavia, “tale possibilità viene consapevolmente esclusa dal rimettente, il quale ravvisa nel tenore letterale della disposizione un impedimento ad un’interpretazione costituzionalmente compatibile”. In questo quadro – precisa la Corte costituzionale – “la possibilità di un’ulteriore interpretazione alternativa, che il giudice a quo non ha ritenuto di fare propria, non riveste alcun significativo rilievo ai fini del rispetto delle regole del processo costituzionale, in quanto la verifica dell’esistenza e della legittimità di tale ulteriore interpretazione è questione che attiene al merito della controversia, e non alla sua ammissibilità”. Ecco dunque il carattere correttivo della pronuncia n. 221 della Corte costituzionale.
 

[1] Art. 8 CEDU: “1. Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e della propria corrispondenza.
2. Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui”.

[2] Cfr. C.M. Reale, Corte costituzionale e transgenderismo: l’irriducibile varietà delle singole situazioni, in www.giurcost.org.

[3] In dottrina insiste sulla differenziazione delle tipologie di sentenze adeguatrici A. D’Atena, nella relazione conclusiva al Seminario Corte Costituzionale, giudici comuni, interpretazioni adeguatrici, Corte costituzionale, Palazzo della Consulta, Roma, 6.11.2009 in AA. Vv., Corte costituzionale, giudici comuni e interpretazioni adeguatrici, Milano, 2010, 337 ss.

[4] Cfr. Corte Cass, sez. I civ., sent. n. 15138 del 2015.

 

---

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

L’improvvisa esplosione del corona – virus ha posto la Repubblica Italiana in una situazione di tale gravità ed emergenza che non si era mai verificata in tutta la storia repubblicana ed ancora non ne sono prevedibili le evoluzioni.
La immediata riflessione da compiere è che in conseguenza di ciò è tornato al centro dell’azione dei pubblici poteri ed anche della relativa produzione normativa lo stato di necessità. Esso ha assunto una “forma” fattuale, quale fonte del diritto persino prevalente sulle garanzie costituzionali. Si è così avuta una conferma sul piano pratico dell’antica teoria dovuta a Santi Romano. Secondo essa la necessità è definita quale fatto di produzione normativa, avente efficacia assoluta, sopra ogni altro fatto od atto normativo.
Continua l’illustre autore con parole che potrebbero descrivere la situazione di questi giorni. Definendo la necessità come una forza <<che difenda e protegga l’ordinamento stesso>>, quando siano riusciti inutili e vani i mezzi contemplati in norme. Allora fra i rimedi straordinari, per l’efficacia definita propria della stessa fonte suprema, sarebbero legittimate anche deroghe al diritto vigente, con effetti temporanei durante lo stato di pericolo e senza innovazioni definitive.
Ma non potrebbe essere diversamente. “Salus rei publicae lex suprema esto” e la normazione di questi giorni lo conferma.
Il decreto legge 23 febbraio 2020 n. 6 che convalida le ordinanze 21 febbraio 2020 e 22 febbraio 2020 ed il conseguente decreto del Presidente del Consiglio dei Ministri del 23 febbraio 2020 recano misure che, pur facendo riferimento allo strumentario post – costituzionale delle ordinanze contingibili ed urgenti, inevitabilmente impattano con effetti di evidente compressione sui diritti garantiti dagli artt. 13, 14, 16, 17, 19 e 20 della Costituzione.
E lo stesso art. 32 della Costituzione circa la possibilità di trattamenti sanitari obbligatori non aveva mai avuto un’applicazione così radicale e pervasiva, ma allo stesso tempo costituzionalmente obbligata, così da giustificare la limitazione dei diritti fondamentali che ne sono coinvolti.
Ma in realtà la vera fonte del potere esercitato per la prima volta nell’esperienza costituzionale è un’altra. È lo stato di necessità che ha imposto misure di “contenimento” così estreme, perché la collettività nazionale esca dalla situazione di più grave pericolo nella quale si è trovata a far data dal secondo conflitto mondiale.
La riflessione sul piano costituzionale non può andare oltre, perché questo deve essere il momento dell’unità e non della divisione.
È stato e sarà inevitabile da parte del Governo un uso più intenso e probabilmente senza le garanzie procedimentali di natura costituzionale del principio di sussidiarietà verticale, di cui sono testimonianza le tensioni Stato- Regioni di questi giorni. Ciò tenuto conto che le materie di intervento si intersecano tra quelle esclusive statali espressione della sovranità e quella concorrente regionale della tutela della salute.
Ma è necessario valutare soprattutto le conseguenze economiche dello stato d’emergenza. Esse al momento si possono appena anticipare, ma nulla sarà come prima.
Se la recessione dell’economia italiana era già prevista come effetto a medio termine dei governi giallo- verde e giallo- rosso, essa interverrà a breve nell’arco di poche settimane, all’interno di un già anticipato ciclo recessivo di tutta l’economia europea.
Entrerà in crisi l’attuale modello europeo, fondato sulle esportazioni piuttosto che sul sostegno dei consumi interni. Se ne vedono già i primi segni.
Il paziente più infetto, che è l’economia italiana, non potrà uscirne con l’attuale coalizione di maggioranza e con i suoi programmi.
Dovrà esserci a breve termine un governo di salvezza nazionale, auspicabilmente col sostegno di tutte le forze politiche presenti in Parlamento, presieduto dall’unica personalità italiana il cui prestigio e la cui credibilità sono riconosciute a livello internazionale. E cioè il governatore uscente della BCE, se sarà disponibile.
Il “corona- virus” farà saltare tutti gli equilibri di bilancio faticosamente costruiti all’interno del c.d. “Fiscal compact” con la Commissione Europea e sarà inevitabile poter utilizzare almeno il limite del 3 % tra disavanzo e PIL previsto dagli artt. 121, 122 e 126 del TFUE, in presenza di una situazione eccezionale e temporanea che queste stesse disposizioni dei Trattati Europei contemplano.
Si renderà infatti necessario un colossale intervento pubblico nell’economia, sia attraverso un programma di opere pubbliche per la nuova infrastrutturazione dell’intero territorio nazionale sia, nell’immediato, attraverso detassazioni e sostegno di tutte le attività economiche coinvolte.
Altrimenti verrà meno la stessa unità nazionale. E soltanto la credibilità di chi agirà per la salvezza della Repubblica Italiana potrà consentire il raggiungimento degli obiettivi. 
Questo è il tema di cui ci dovremo occupare nelle prossime settimane, nei prossimi mesi. Perchè questa è la situazione che abbiamo davanti ai nostri occhi.

 
 

Sommario
1. Introduzione. CRISPR: nascita di una tecnica rivoluzionaria
2. Sfida a tre per la proprietà intellettuale di CRISPR
2.1 Dalla sentenza Chakrabarty al Bayh Dole Act: perché è possibile brevettare i trovati biotecnologici:
2.2 Lo scontro per la paternità di CRISPR:
2.2.1 Il fondamentale requisito della nonobviousness
2.3 La decisione della corte europea dei brevetti (EPO)
3. Applicazione di CRISPR e AddGene: libero accesso alle tecnologie brevettate per la ricerca di base.
4. Biotecnologie e dignità umana: una relazione non sempre facile
5. Considerazioni conclusive
 
1. Introduzione. CRISPR: nascita di una tecnica rivoluzionaria
 
Il 1953 è un anno fondamentale per gli studi nel settore della genetica: James Watson e Francis Crick scoprono la struttura del DNA e il suo meccanismo di replicazione. È la scoperta basilare (e più clamorosa) di una lunga serie, che li porterà a vincere il premio Nobel nel 1962.  Da allora la conoscenza del DNA e del funzionamento del nostro patrimonio genetico si è sempre più consolidata: dalla definizione della struttura si è passati al suo funzionamento e al modo in cui viene trasmessa l’informazione dai geni, per giungere poi agli studi si biologia molecolare che hanno permesso di studiare l’origine genetica di molte malattie nonché gli studi di ingegneria genetica volti proprio a correggere quegli errori da cui originano molte malattie, ovvero a potenziare talune caratteristiche positiva del corredo genetico, tanto negli animali, quanto nelle piante. A tale ultimo proposito una delle tecniche oggi maggiormente studiate per i suoi notevoli e molteplici vantaggi è quella che viene va sotto l’acronimo di CRISPR, Clustered Regularly Interspaced Short Palindromic Repeats (brevi ripetizioni palindrome interspaziate in modo regolare). 
La storia di CRISPR, in realtà, inizia più di un ventennio fa quando, nel 1993, un giovane biologo, Francisco Mojica (oggi microbiologo dell’Università di Alicante), scoprì che nei batteri era presente un meccanismo, una sorta di sistema immunitario, che li difendeva dalle malattie virali, che denominò CRISPR.  Proseguendo nei suoi studi, nel 2002, Mojica individuò la presenza di CRISPR in circa 40 specie di batteri, senza sapere ancora quale funzione svolgesse: fu solo quando si concentrò sui tratti di DNA spaziatore (spacer), che arrivò l’intuizione giusta: «Scoprì che uno spacer presente nel batterio Escherichia coli presentava la stessa sequenza di basi di un virus, il batteriofago P1, che infetta proprio questi batteri. Eppure, il particolare ceppo di Escherichia coli analizzato da Mojica risultava immune all’infezione: Mojica iniziò a sospettare che ci potesse essere una correlazione tra la resistenza all’infezione e la presenza del DNA virale nei batteri»[1]. 
Dalle prime intuizioni di Mojica molta strada è stata fatta e CRISPR è entrato nel settore industriale: nel 2004 viene riconosciuto il primo brevetto su CRISPRa W. Michael Russell, Rodolphe Barrangou e Philippe Horvath, circa il metodo di sequenziamento di alcune regioni CRISPR per rilevare varianti di Lactobacillus acidophilus, un batterio utilizzato nella produzione industriale dello yogurt[2].
Ma l’anno di svolta è il 2012: Jennifer Doudna (UC Berkeley) ed Emmanuelle Charpentier (Università di Vienna, ora direttrice del Laboratorio di biologia delle infezioni al Max Planck di Berlino) riescono a riprodurre questa sorta di sistema immunitario presente nei batteri in via artificiale, e intuiscono che associandolo agli enzimi della classe delle nucleasi, specificamente quelle Cas, in particolare all’endonucleasi Cas9, è possibile effettuare modifiche mirate sul DNA, cioè interventi di genome editing, grazie all’associazione ad una guida, una breve sequenza di RNA (cosiddetto sistema di posizionamento) che lo indirizza verso un punto specifico.  Attraverso CRISPR è, dunque, possibile introdurre i cambiamenti desiderati sulla linea genetica, inducendo mutazioni indistinguibili da quelle naturali e trasmissibili in via ereditaria: è possibile spegnere un gene difettoso, “ripararlo”, inserire nuovi segmenti di DNA[3], trasformando, così, le tecniche di gene-editinge di ingegneria genetica finora utilizzate. 
Ciò che rende questo meccanismo singolare, oltre a fatto che utilizza meccanismi naturali di riparazione cellulare, è la sua semplicità e precisione (evita di utilizzare sistemi, per così dire, di forza bruta, che sfruttano i virus, e che inducono modificazioni casuali e non prevedibili), nonché la sua economicità e rapidità: permette di raggiungere risultati impensabili con le tradizionali tecniche di ingegneria genetica  in tempi più celeri, poiché in grado di incidere nel punto del DNA desiderato. Indubbiamente uno strumento prezioso per la ricerca di base, poiché funziona su tutti gli organismi (batteri, piante e animali) e le cui sue possibili applicazioni appaiono molteplici: uno strumento straordinario, che ha suscitato entusiasmo e interesse, non solo, nella comunità scientifica[4], ma anche in campo industriale[5], oltre che a livello mediatico e che non manca di destare preoccupazione e timore per possibili derive di carattere eugenetico[6].
 
2. Sfida a tre per la proprietà intellettuale di CRISPR
 
Come è possibile intuire, una tecnologia tanto trasversale, che può trovare applicazione nei più diversi settori, promette gloria e prestigio accademico, oltre a premi e riconoscimenti, ma anche vantaggi economici consistenti.
Così a partire dal 2012 è iniziato quello che gli esperti del settore non hanno tardato a definire come un caso di scuola[7]tra i brevetti biotecnologici, ossia lo scontro per la paternità di CRISPR/Cas9 e il riconoscimento del diritto allo sfruttamento del relativo know how, che vede contrapposti i gruppi di ricerca facenti capo a due delle maggiori università americane. Da un lato il team di Doudna e Charpentier (UC Berkeley), le madri di questa tecnica, che per prime hanno riprodotto CRISPR in laboratorio e ne hanno spiegato il funzionamento generale; dall’altro, Feng Zhang, biochimico sino-americano (Massachusetts Institute of Technology, MIT), che ha richiesto il brevetto per l’applicazione di CRISPR/Cas9 sulle cellule eucariote, ossia quelle cellule che caratterizzano gli esseri superiori, come piante e animali, e che con i batteri condividono la struttura del DNA.  
La contesa si è giocata su due distinti “campi di battaglia”, l’ufficio statunitense dei brevetti, USPTO (United States Patent and Trademark Office), e il corrispondente ufficio europeo, EPO (European Patent Office), con esiti, però, contrapposti. 
 
 
 
2.1 Dalla sentenza Chakrabarty al Bayh Dole Act: perché è possibile brevettare i trovati biotecnologici:
 
Prima di dar conto della vicenda giudiziaria sul brevetto di CRISPR, si rendono necessarie alcune premesse, per meglio contestualizzare il caso. Innanzitutto occorre capire perché è possibile richiedere ed ottenere brevetti su prodotti e materiali biotecnologici; in secondo luogo è opportuno guardare brevemente alla legislazione statunitense che ha permesso alle università di accedere agli strumenti di privativa industriale. 
Per quanto attiene al primo punto, a ben guardare, già dalla seconda metà del secolo scorso, non si registravano incertezze o criticità circa la possibilità di brevettare i procedimenti microbiologici e i prodotti ottenuti da tali procedimenti (si veda ad esempio l’art 53 della Convenzione di Monaco del 1973). Non vi è quindi mai stato dubbio sulla possibilità di brevettare procedimenti industriali che utilizzassero meccanismi microbiologici (ovviamente si rendeva necessaria una revisione, o meglio un adattamento delle norme che da circa un secolo regolavano il sistema brevettuale, pensato in funzione delle invenzioni meccaniche). Più complessa era la situazione con riferimento alla produzione di nuovi microrganismi ottenuti attraverso procedimenti microbiologici, stante anche il dibattito etico che si poneva sullo sfondo. 
Un punto di svolta è stato raggiunto con la fondamentale sentenza della Corte Suprema Americana nel caso Diamond vs. Chakrabarty (1980)[8]: agli inizi degli anni ’70 il microbiologo indiano, naturalizzato statunitense, Ananda Chakrabarty sviluppò un microrganismo geneticamente modificato, un batterio, in grado, sulla carta, di bonificare le aree inquinate dagli idrocarburi. Di tale organismo venne richiesto il brevetto, che inizialmente fu negato dall’USPTO, con la motivazione che la legge non consentiva la brevettazione di esseri viventi. A seguito di una querellegiudiziaria durata quasi un decennio, la Corte Suprema riconobbe il brevetto, con una interpretazione, che potremmo definire estensiva, del paragrafo 101 dell’US Patent Act del 1952 e successivi[9], stabilendo un principio che avrebbe segnato tutta la giurisprudenza successiva, non solo americana, in tema di brevetti biotecnologici: si legge infatti nelle pagine della sentenza che è assoggettabile a privativa «anything under the sun that is made by man», identificando quale discrimine essenziale per distinguere le invenzione brevettabili da quelle non brevettabili l’apporto umano per la creazione di  qualcosa che in natura non esiste ancora. 
Il principio contenuto nella sentenza del 1980 è stato poi ribadito nel 2001 dall’USPTO nelle Utility Examination Guidelines, confermando la posizione per cui le invenzioni basate sui geni sono brevettabili a condizione che si riscontri un intervento umano sufficiente a soddisfare lo standard del «made by man». 
A seguito della sentenza summenzionata, ha avuto inizio un periodo in cui la sfera del brevettabile, con particolare riferimento al materiale genetico, ha conosciuto una notevole espansione (un esempio per tutti è quello che riguarda il cd. Oncomouse, sulla cui brevettabilità, negli Stati Uniti, non si è dubitato per un istante). 
Solo recentemente è stato possibile registrare un cambiamento nella prassi seguita dall’USPTO in tema di brevetti biotech negli ultimi trent’anni: a seguito del caso Myriad Genetics[10](2013), si impone, infatti, una rivalutazione nella concessione dei brevetti nel settore biotech, a favore di un atteggiamento maggiormente rigido e riduzionista, con specifico riferimento al requisito dell’apporto umano.
Questa proliferazione di privative ha avuto ricadute, infatti, non sempre positive nel campo della ricerca[11], favorita anche da una normativa, il Bayh-Dole Act (1980), che ha permesso alle università di brevettare i loro trovati. Questa, insieme ad un ingente flusso di finanziamenti e da un diversificato supporto di agenzie ed enti federali a sostegno della ricerca scientifica, ha permesso alleuniversità americane di assumere un ruolo di primo piano in ambito brevettuale, incoraggiando così la collaborazione tra il mondo accademico e l’impresa. 
Questa legge attribuisce direttamente la titolarità dell’invenzione alle università e agli altri enti di ricerca, consentendo loro di trarre profitto dallo sfruttamento industriale e commerciale delle invenzioni, licenziando a terzi i diritti dei loro trovati. Peraltro, a tutela degli enti finanziatori, l’Act introduce alcune limitazioni al godimento del diritto di esclusiva. In particolare, prevede la possibilità, per la Federal Agency che ha finanziato la ricerca, di rivendicare la titolarità del brevetto qualora l’università non comunichi entro un tempo ragionevole all’agenzia stessa l’invenzione realizzata. 
Questa normativa non è andata esente da critiche, in particolare da parte di coloro che sostegno la libertà di accesso alla conoscenza e alle informazioni, in particolare per la ricerca di base, resa difficile e costosa anche a causa dei brevetti, che vanno ad inficiare l’obiettivo comune dello sviluppo[12]. E infatti i dati[13]dimostrano come a seguito dell’entrata in vigore del Bayh-Dole Act sia possibile registrare una proliferazione di depositi brevettuali (+ 220%, solo negli Stati Uniti), nonché delle licenze di brevetto, a fronte di una  diminuzione delle pubblicazioni a carattere scientifico (-10% dal 1995 al 2000).
Secondo l’analisi condotta da Arti Rai (Law professor Duke University) e Robert Cook-Deegan (legal scholar Arizona State University)[14], alla base della contesa brevettuale su CRISPR/Cas9, vi sono proprio le potenzialità di sfruttamento commerciale da parte delle università dischiuse dal Bayh-Dole Act: entrambe le ricerche, infatti sono state finanziate dal U.S. National Institute for Health (NIH), trovano fondamento nel benessere collettivo e sono soggette ai termini previsti dal Bayh-Dole Act. Eppure questa disputa presenta una particolarità: a fronteggiarsi sono due entità pubbliche, due università, da una parte il MIT, dall’altra l’Università della California Berkeley, circostanza che non aveva ancora avuto precedenti, anche a ragione del rancore inusuale che si è creato tra queste due istituzioni, che sta evidentemente a indicare come dietro a questa contesa, più che due istituzioni accademiche, ci siano importanti interessi economici, connessi con le aziende private fondate dagli stessi protagonisti della vicenda[15]; un segnale allarmante, ma comunque non sorprendente[16].
Gli accademici sono, quindi, secondo l’analisi di Rai e Cook-Degan, portati a competere su un doppio fronte: da una parte cercano di conquistare una posizione di prestigio nell’ambito della ricerca accademica, e dall’altro tentano di ritagliarsi un posto nella sfera brevettuale, da cui poter tratte vantaggi, specie economici, con la creazione di imprese (nella maggior parte dei casi start-up biochimiche), al fine di convertire le loro innovazioni in prodotti commerciali.  convertire le loro innovazioni in prodotti commerciali.  
2.2 Lo scontro per la paternità di CRISPR:
 
Tornando a CRISPR, un mese prima della pubblicazione del loro studio sulla rivista Science[17],nel quale illustrano le straordinarie potenzialità applicative di questa tecnica, Doudna e Charpentier, e le relative università, avviano la procedura per vedersi riconosciuta dall’USPTO il brevetto sulla tecnica. Solo qualche mese più tardi, prima della decisione dell’ufficio brevetti statunitense relativamente alla domanda avanzata dalle due ricercatrici, il MIT inoltra una propria richiesta indipendente di brevetto, limitata, però, all’applicazione di CRISPR sulle sole cellule eucariote. Il gruppo guidato da Zhang riesce ad ottenere per primo il brevetto, avendo optato per una procedura più costosa, ma più celere (cosiddetta petition to make special).
Entrambe le università nel 2014 ottengono i brevetti richiesti, ma l’UC Berkeley presenta ricorso all’USPTO per interferenza di brevetti[18], al fine di ottenere la revoca del brevetto assegnato al MIT.
Secondo i legali dell’Università della California Berkeley, infatti, l’applicazione di CRISPR sulle cellule più complesse era un’implementazione scontata e di facile realizzazione sulla base del lavoro di Doudna e Charpentier[19], tale per cui una qualsiasi persona esperta del settore avrebbe potuto realizzarla, così contestando l’apporto innovativo di Zhang e del suo gruppo.  
Di contro i legali del MIT sostengono una tesi opposta: senza l’expertise di Zhang e del suo gruppo, non sarebbe stato possibile giungere all’utilizzo di CRISPR sulle cellule eucariote, differenza fondamentale rispetto agli studi condotti da Doudna e Charpentier, e non desumibile dal loro lavoro: conseguentemente i due brevetti sarebbero indipendenti perché attinenti a tecniche simili, ma comunque non identiche, con campi di impiego diversificati. 
Il Patent Trial and Appeal Board (PTBA) decide il ricorso con sentenza del 15 febbraio 2017[20]: i giudici dell’USPTO hanno deciso che tra i brevetti detenuti da Berkely e dal MIT non vi è interferenza, e che pertanto le due invenzioni possono considerarsi distinte. Si legge nella sentenza «one of ordinary skill would not have had a reasonable expectation of success that CRISPR/Cas9 could be used in a eukaryotic cell. In light of this finding, we determine that if they were prior art, UC’s claims would not have rendered Broad’s claims obvious».
Nonostante le dichiarazioni rilasciate alla stampa da Doudna all’indomani della sentenza («They have a patent on green tennis balls; we will have a patent on all tennis balls»), la sentenza del PTAB è stata confermata in secondo grado innanzi alla Corte d’appello federale: sia il brevetto di Zhang che quello di Doudna e Charpentier rimangono validi, non essendoci interferenza tra gli stessi: le due tecniche sono separate e non sovrapponibili. 
 
2.2.1Il fondamentale requisito della nonobviousness
 
Importanza fondamentale, al fine di risolvere la controversia innanzi ai giudici statunitensi, ha avuto il criterio della non ovvietà (nonobviousness) o originalità, cioè il requisito cardine della maggior parte dei sistemi brevettuali. Questo prevede che un’invenzione, per poter essere brevettata, non deve essere ricompresa nello stato della tecnica, ossia non deve risultare in modo evidente allo stato dell’arte per una persona mediamente esperta del settore. 
A dispetto di una definizione così lineare, le cose non sono così semplici, specialmente quando si ha a che fare con trovati biotecnologici, come nel caso di CRISPR. Così come declinato il requisito era stato, infatti, pensato per invenzioni di natura meccanica, mentre il settore che qui ci interessa è alquanto differente.  Giova, quindi, rammentare come si renda necessario nell’ambito biotech un adattamento, nonché parziale revisione, dei tradizionali requisiti utili all’ottenimento del brevetto. Per quanto riguarda l’originalità o non ovvietà la soglia inventiva è, infatti, spostata molto più in basso rispetto agli standard tradizionali, dal momento che, qualora il giudizio di originalità fosse legato alla ricerca del flash of genius di fatto sarebbe quasi impossibile ottenere un brevetto nel settore biotecnologico; ne risulta che, se non vi sono ragionevoli prospettive di successo, nonostante il risultato prevedibile, lo stesso risulta essere degno di protezione[21]. E ciò è proprio quanto accaduto nel caso dell’applicazione di CRISPR sulle cellule eucariote: è emersa, infatti, dalle testimonianze rese in giudizio la frustrazione della stessa Doudna per il mancato successo dell’applicazione della tecnica alle cellule animali[22], circostanza che dimostra come il lavoro di Zhang sia inquadrabile come incremento prevedibile  della tecnica base messa a punto dalle due ricercatrici, ma di non facile realizzazione. 
Secondo tale requisito, quindi, così come interpretato dai giudici del PTAB, sulla base del test TSM, come definito dalla Corte Suprema americana nella causa KSR v Teleflex[23], lo studio di Zhang sarebbe stato una ovvia conseguenza del lavoro di Doudna e Charpentier se quest’ultimo, così come descritto, avesse avuto una ragionevole probabilità si successo nelle cellule eucariote, così come lo ha avuto in vitro nei sistemi batterici. Non essendoci questa probabilità (anzi, è emerso l’esatto opposto) ed essendo imprevedibile come avrebbe lavorato l’invenzione “base” di Doudna e Charpentier in un sistema eucariotico, stante l’incertezza e imprevedibilità dei risultati che è possibile raggiungere attraverso una semplice trasposizione di un procedimento o di un composto da un sistema ad un altro, e circa il fatto che l’invenzione avrebbe lavorato bene in sistemi diversi, in condizioni sperimentali differenti, o utilizzando parametri diversi, l’apporto di Zhang può considerarsi non ovvio, oltre che creativo e incrementale, in quanto non  di facile realizzazione per una persona mediamente esperta nel settore. 
Il brevetto di Zhang, quindi, non può considerarsi sovrapponibile con quello di Doudna e Charpentier.
 
2.3 La decisione della corte europea dei brevetti (EPO)
 
Le norme europee in tema di brevetti biotecnologici sono maggiormente stringenti rispetto alla prassi statunitense. Di centrale importanza è la direttiva 44 del 1998 sulla protezione giuridica delle invenzioni biotecnologiche, nonché la Convenzione di Monaco del 1973 sul brevetto europeo (rivista successivamente nel 2000). Dalla lettura dei testi normativi non emerge alcuna avversione per i brevetti nel campo biotech: gli stessi vengono riconosciuti come necessari al fine di incoraggiare e sostenere un settore, come quello dell’ingegneria genetica, che richiede una notevole «quantità di investimenti ad alto rischio che solo una protezione giuridica adeguata può consentire di rendere redditizi[24]». L’unico limite emergente dalla direttiva riguarda la brevettabilità di procedimenti essenzialmente biologici per la produzione di vegetali o animali (art. 4 par. 1 lett b, art 53 lett. b convenzione di Monaco), nonché il corpo umano o elementi isolati dello stesso (art 5); è invece possibile ottenere brevetti per «invenzioni che abbiano ad oggetto un procedimento microbiologico o altri procedimenti tecnici ovvero un prodotto ottenuto direttamente attraverso siffatti procedimenti» (art 4 par. 3 direttiva, nonché art 53 lett. b secondo periodo convenzione di Monaco): tra questi ultimi è possibile ricomprendere CRISPR/Cas9.
Nessun dubbio, quindi, sulla possibilità di attribuire protezione giuridica a CRISPR anche in Europa, ma l’esito è stato opposto rispetto a quanto deciso dalle corti statunitensi. 
Inizialmente erano stati riconosciuti due brevetti distinti, uno sulla tecnica “generale” a Doudna e Charpentier e uno “specifico” sull’utilizzo negli eucarioti a Zhang. 
E mentre oltreoceano giungeva la sentenza d’appello, che confermava quanto stabilito dal PTBA, in Europa l’ufficio brevetti arrivava ad una conclusione opposta. Nel 2018 è stato, infatti, revocato dalla Divisione di Opposizione dell’EPO il brevetto inizialmente assegnato al Broad Institute (MIT), ed è stato stabilito che il brevetto detenuto dalle due “madri della tecnica” copre l’uso di CRISPR/Cas9 in ogni tipo di cellula, trattandosi, secondo i giudici europei, di una autentica e genuina invenzione, «a major “inventive step” over the work that came before it»[25]. La decisione della Divisione di Opposizione è stata recentemente confermata: la Commissione ricorsi dell’ufficio brevetti europeo ha infatti annunciato la propria decisione del caso T844/18[26]nell’udienza del 16 gennaio 2020 per la revoca definitiva del diritto di proprietà industriale inizialmente concesso al MIT. 
Alla base della decisione vi sono, a ben guardare, due problematiche di carattere essenzialmente formale: da un lato la richiesta iniziale presentata dal gruppo di Zhang manca di affrontare l’importanza di alcune sequenze di DNA, chiamate PAM, necessarie nella tecnica CRISPR/Cas9, non essendo valsa a nulla la difesa del MIT, secondo cui queste sequenze sono abbastanza note nel settore da poterne omettere la descrizione[27]; dall’altro lato la richiesta del MIT includeva tra i vari nomi, anche quello di un collaboratore della Rockefeller University di New York City, Luciano Maraffini, quale co-inventore, poi escluso dalla documentazione successiva presentata all’ufficio europeo, esclusione che impedisce di verificare l’anteriorità dei brevetti statunitensi, rendendo inaccoglibile la richiesta così come formulata in Europa, stante la violazione degli artt. 87 e successivi della Convenzione sul brevetto europeo. Da quanto emerge, inoltre, dalla decisione della Commissione Ricorsi la revoca definitiva del brevetto, disposta a norma dell’art 138.1 lett a) Convenzione di Monaco era necessaria, stante la violazione dell’art 54 della stessa Convenzione: la Commissione, infatti, rileva la mancanza del requisito della novità nella domanda di brevetto presentata dal MIT, che non è stato in grado di provare davanti al giudice europeo l’anteriorità della richiesta di brevetto rispetto allo stato della tecnica, definibile, a norma dell’art 54.2 della Convenzione sul brevetto europeo, come «tutto ciò che è stato reso accessibile al pubblico prima della data di deposito della domanda di brevetto europeo mediante una descrizione scritta o orale, un’utilizzazione o un qualsiasi altro mezzo»; il gruppo di Zhang aveva infatti diffuso delle pubblicazioni di carattere scientifico che illustravano la tecnica che si chiedeva di brevettare riportanti una data anteriore a quella della richiesta di brevetto. 
 
3. Applicazione di CRISPR e AddGene: libero accesso alle tecnologie brevettate per la ricerca di base
 
Le conclusioni a cui si è giunti sulle due sponde dell’Atlantico sono, quindi, opposte e lo sono per motivazioni differenti. 
Da una parte (USPTO) guardando agli aspetti per così dire sostanziali della vicenda, si è ritenuto che i due brevetti del MIT e di Berkeley possano convivere, in quanto riguardanti ambiti diversificati della stessa tecnica; dall’altra (EPO) guardando ad aspetti maggiormente formali si è giunti alla revoca del brevetto inizialmente concesso al MIT, lasciando strada libera al gruppo di Doudna e Charpentier. Questa situazione genera però perplessità, specie negli operatori economici privati, che si trovano in una scomoda posizione di incertezza sulla necessità di ottenere licenze da entrambi i protagonisti della vicenda per l’utilizzo di CRISPR/Cas9 nelle cellule eucariote[28].
A questo punto appare, quindi, utile analizzare i vari impieghi di CRISPR. Il suo utilizzo copre, infatti, tre aree distinte, riguardanti fini di ricerca non commerciale, lo sviluppo di strumenti che si basano sulla tecnologia del gene editing, e, infine, lo sviluppo, vendita e utilizzo di prodotti/terapie che utilizzano CRISPR. Occorre distinguere. 
Per quanto riguarda la ricerca a finalità non commerciale, o ricerca di base, condotta prevalentemente da istituzioni pubbliche quali università e centri di ricerca, si segnala un nuovo corso di best practices, avviato in un clima di open source biotechnology[29]. Il riferimento è, in particolare, alla piattaforma digitale AddGene, che da alcuni anni raccoglie lavori e studi riguardanti il DNA, tra cui un spazio di risalto è riservato a CRISPR. A questa communitypartecipano più di 700 istituzioni a livello mondiale tra cui l’UC Berkeley e il MIT. Lo scopo è quello di mettere a disposizione della comunità scientifica, attraverso un repository no profit, i risultati dei propri studi, in un’ottica di condivisione nonché di progresso del sistema generale, che possa essere di beneficio per la collettività, attraverso l’eliminazione, o quanto meno l’abbattimento, dei costi di transizione per l’ottenimento delle licenze che possono scoraggiare i ricercatori a proseguire nei loro studi. Una nuova sfida che cerca di superare i problemi dell’accesso alle informazioni che la monopolizzazione della conoscenza, anche tramite lo strumento brevettuale, aveva contribuito a creare e che porta ad un rallentamento (se non una vera e propria paralisi) del progresso scientifico: un sistema aperto di interscambio, invece, va a sicuro vantaggio dei fruitori finali[30]. A dispetto quindi della battaglia legale per il brevetto, la ricerca accademica su CRISPR è risultata incrementata dal 2012 ad oggi.   
Nelle altre due aree in cui trova applicazione CRISPR, settori che maggiormente si avvicinano al commercio, si presentano, invece, problemi connessi con la proprietà intellettuale sulla tecnica. All’esito della controversia sulla paternità della tecnologia, specie statunitense, le aziende che vogliono utilizzare CRISPR si trovano in una posizione di incertezza circa il fatto di dover ottenere licenze d’uso da entrambi i contendenti. Situazione questa che genera una inefficienza, che si lega strettamente al problema delle royalties: terminata, dunque, la battaglia per il brevetto di CRISPR, una minore sembra presentarsi all’orizzonte sulle licenze d’uso per la stessa tecnologia.
Anche in questo caso è bene distinguere: se nell’ambito biomedico, che è quello maggiormente redditizio, assistiamo a fenomeni di licenze esclusive, detenuti dalle società, per lo più strat up create dagli stessi pionieri della tecnica (Caribou Biosciences, nel caso di UC e Editas Medicine, collegata al MIT), per le applicazioni nel settore agricolo è stato possibile raggiungere accordi di cross-licensing tra le industrie private (in particolare la DuPont Pioneer, leader mondiale in campo agricolo per la produzione di semi ibridi) e i “proprietari” di CRISPR, fino alla definizione di uno schema di licenze condiviso[31].
È, dunque, apprezzabile lo sforzo nel cercare un equilibrio virtuoso tra accesso alle informazioni essenziali per la ricerca, innovazione e protezione degli investimenti ai fini di sfruttamento commerciale di un nuovo prodotto o di una nuova tecnica. 
 
4. Biotecnologie e dignità umana: una relazione non sempre facile
 
Il tema su affrontato non manca poi di sollevare spunti di riflessione di natura etica in riferimento al concetto di dignità umana, principio fondamentale e inviolabile che deve essere tutelato e rispettato ai sensi, tra i tanti, dell’art 1 Carta dei diritti fondamentali dell’Unione Europea, nonché dell’art 1 della Dichiarazione universale sul genoma ed i diritti dell’uomo (UNESCO, 1997), dell’art 6 della Dichiarazione sulla responsabilità delle generazioni presenti nei confronti delle generazioni future (ONU, 1997), dell’art. 1, comma 1, della Convenzione di Oviedo sui diritti dell’uomo e la biomedicina. 
Quello della dignità è un tema fondamentale, ponendosi la stessa quale guida delle attività rientranti nel campo bioetico, oltre che parametro fondamentale per valutare la liceità delle attività medico-scientifiche che hanno a che fare con la persona e la sua corporeità; è una risorsa che ha la capacità di svolgere una funzione regolativa, in quanto valore “assoluto” in un contesto di valori relativi , che grazie alla sua generalità e astrattezza pone limiti inderogabili all’agire dell’uomo in quelle situazioni che rientrano nella sfera bioetica[32]. La dignità diviene dunque concetto centrale e non meramente simbolico del dibattito bioetico e biogiuridico, guidando l’azione dei legislatori e il lavoro delle Corti. Dai testi normativi e dalle decisioni delle Corti emerge, infatti, come nei processi di giuridificazione del corpo, o di parti di esso, vi sia un costante riferimento al principio di dignità, quale baluardo contro la reificazione e la strumentalizzazione dell’essere umano, problematiche rese più evidenti dallo sviluppo delle scienze della vita e della genetica. 
Per quanto strettamente attinente al tema della brevettabilità delle invenzioni biotecnologiche, la direttiva 98/44/CE[33]è permeata dal concetto di dignità umana che ne sorregge l’intero impianto normativo, avendo inteso il legislatore dell’Unione escludere qualsiasi possibilità di ottenere un brevetto nel settore biotech quando il rispetto dovuto alla dignità e all’integrità dell’essere umano possano risultarne pregiudicati. A tutela della dignità, infatti, non sono brevettabili le varietà vegetali e le razze animali (art 4, par. 1 lett. a) i procedimenti essenzialmente biologici di produzione di vegetali o di animali (art 4, par. 1lett b), oltre che il corpo umano, nei vari stadi della sua costituzione e del suo sviluppo, nonché la mera scoperta di uno dei suoi elementi, compresa la sequenza o la sequenza parziale di un gene (art 5, par. 1); aggiunge poi il considerando 16 che il diritto dei brevetti deve essere esercitato nel rispetto dei principi fondamentali che garantiscono la dignità e l’integrità dell’uomo, e dunque devono essere esclusi dalla brevettabilità quei procedimenti che arrecano pregiudizio alla dignità umana (considerando 38) . E’ possibile apprezzare il tentativo della direttiva di trovare un non facile equilibrio, una sintesi o un compromesso tra valori etici e logiche scientifico-economiche[34], tra quelli che potrebbero essere definiti come i vertici di un triangolo: proprietà intellettuale, libertà della ricerca scientifica e dignità. 
In particolare, il concetto di dignità fa da argine sia alla libertà della ricerca scientifica, sia alla proprietà intellettuale. Per quanto riguarda il primo aspetto è apprezzabile come la carta di Nizza sancisca la libertà fondamentale della ricerca scientifica (art 13), ma non in termini assoluti: l’art. 13 deve essere letto e interpretato alla luce dell’art. 1 della stessa Carta[35]; ne discende che la libertà di ricerca, con particolare riferimento all’essere umano e alla sua corporeità, trova un limite invalicabile nel principio di dignità, il quale non può essere violato in nome del progresso tecnologico[36]. Per quanto attiene ai diritti di proprietà intellettuale, la possibilità di ottenere brevetti per prodotti e procedimenti biotecnologici incontra diversi ostacoli che hanno una base comune nel concetto di dignità. Da più parti (Dichiarazione UNESCO sul genoma umano (art. 4), dalla Convenzione del Consiglio d’Europa sulla biomedicina (art. 21), nonché dall’art.3 Carta dei diritti UE), infatti, è fatto divieto di fare del corpo, o delle sue parti, fonte di profitto, sintetizzabile nell’obbligo di tutela della dignità umana (art. 1 della Carta di Nizza).
Anche la Costituzione italiana nel sancire l’inviolabilità della dignità umana all’articolo 41, giustifica la limitazione della libertà di iniziativa economica privata (volendosi tra questa ricomprendere anche la ricerca scientifica, specie se condotta da soggetti privati), nei modi in cui la stessa arrechi pregiudizio all’utilità generale e si ponga in contrasto con la dignità; l’art 81 quinquies, co. 1, sub lett. b, d.lgs 30/2005 (cosiddetto codice della proprietà industriale), poi, nel recepire l’art. 6 della direttiva europea, aggiunge all’espressione “ordine pubblico” e “buon costume” un riferimento espresso alla dignità, al fine di sottolinearne il valore essenziale quale substrato comune per la tutela dei diritti fondamentali, che può agire tanto da limite quanto avere un effetto di promozione.  L’aggiunta operata dal legislatore italiano (dal valore più formale che sostanziale, in quanto è possibile ritenere il concetto di dignità già ricompreso nella più generica espressione “ordine pubblico”) non è comunque di poco conto: infatti evidenzia la volontà di giuridicizzare il concetto di dignità mediante un suo riconoscimento esplicito, in modo da enfatizzarne la tutela. 
La dignità si pone dunque come limite alla brevettabilità, e in parte come ostacolo, alla ricerca scientifica, specialmente per ciò che concerne l’aspetto dei finanziamenti. L’impossibilità, infatti, di accedere a strumenti di protezioni come il brevetto, scoraggia i potenziali investitori, che potrebbero ritenersi non tutelati in maniera adeguata con ricadute, in termini di minori risorse, e quindi un rallentamento, del progresso tecnologico e scientifico; progresso che non può essere sempre e comunque legittimo, in sfregio ai principi e ai valori generalmente condivisi. È il caso, strettamente attinente a CRISPR, delle gemelline cinesi, nate in seguito all’impianto nell’utero materno di embrioni editati al fine di correggere un gene difettoso per renderle immuni dal virus dell’HIV (correzione che pare sia riuscita, tra l’altro, solo su una bambina). La vicenda, oltre a suscitare clamore e reazioni di condanna da parte della comunità scientifica mondiale, pone delicati interrogativi sull’opportunità di applicare siffatte tecnologie sugli esseri viventi, sui limiti che i ricercatori devono porsi, oltre che questioni di natura etica, con particolare riferimento alla dignità umana.
Si può concludere che la ricerca scientifica, specie quando è svolta al fine di migliorare le condizioni di vita e di salute dell’uomo, non deve incontrare ostacoli nel dettato normativo, ma proprio per svolgere il suo fine primario non può porsi in contrasto con principi generalmente riconosciuti e condivisi, ma deve essere eticamente orientata, in primis dal valore guida della dignità: l’essere umano deve sempre rimanere soggetto, e non oggetto, della ricerca.  
 
5. Considerazioni conclusive
 
La contesa sul brevetto di CRISPR ha sicuramente segnato il settore dei brevetti biotecnologici degli ultimi anni, divenendo, ormai, un caso di scuola. Ma sulla sua effettiva portata e incidenza occorre essere più cauti. Nelle more del giudizio statunitense, infatti, la ricerca su questa tecnica rivoluzionaria ha fatto passi da gigante (anche grazie alla condivisione e interscambio di dati e studi): la tecnologia CRISPR è evoluta in maniera significativa rispetto al deposito dei brevetti originari. In particolare sono state messe a punto diverse varianti onde migliorare sempre più la tecnica, che in soli 7 anni ha permesso di raggiungere grandi obiettivi, ma che ha mostrato anche qualche limite, rivelandosi, in parte, imprecisa. Specificamente, da un punto di vista scientifico, CRISPR/Cas9 risulta essere superato, in quanto, ad oggi, vengono utilizzate molte altre nucleasi (sempre Cas, come ad esempio CasX, CasY, Cas9Evo, Cas12 o 13, ed altre ancora) al fine di rendere più sicuro, preciso e affidabile l’editing genetico[37]. Insomma CRISPR/Cas9 è solo la punta di un iceberg: molte altre rivoluzioni si preparano in questo settore, e il suo brevetto corre il rischio di essere già superfluo, o meglio superato, avendo trovato le stesse migliorie protezione giuridica in diversi brevetti[38], più circoscritti ma ugualmente importanti[39]. Il che porta anche a chiedersi se, ora che il funzionamento generale di CRISPR nelle cellule eucariote è stato spiegato, se ogni applicazione della stessa, anche cambiando la proteina utilizzata, non sia, in fondo, un’attuazione ovvia della tecnica generale brevettata da Zhang. Cioè, non sono queste varianti carenti, in fondo, del requisito della non ovvietà che giustifica la concessione del brevetto?[40].
Quello che si vuole dire è che questa contesa è certamente importante per il presente, ma non lo sarà altrettanto per il futuro della tecnica. 
Il che conferma l’idea di quanti sostengono l’opportunità di una revisione, una ristrutturazione, dello strumento brevettuale nel settore biotecnologico (nel senso, ad esempio, di una riduzione dell’estensione temporale del brevetto), un ambito per sua natura cumulativo e incrementale, che si evolve rapidamente e costantemente, per tutelare i piccoli centri di ricerca ed evitare la creazione di monopoli di conoscenza, che finiscono poi nel patrimonio di qualche società privata. Da notare, infatti, che lo sviluppo tecnologico ha portato significative modifiche anche nel campo della proprietà industriale: è venutameno la finalità originaria della tutela brevettuale, ossia la tutela della paternità scientifica dell’invenzione, per garantire, molto più pragmaticamente, all’azienda titolare del brevetto lo sfruttamento commerciale esclusivo dei possibili impieghi attuali o potenziali[41].
In particolare per ripristinare la funzione originaria del brevetto o comunque equilibrare la situazione si propone di concedere brevetti più circoscritti (anche temporalmente), di modo da riconoscere diritti più limitati ai loro detentori per non creare situazioni di incertezza come nel caso CRISPR/Cas9. Infatti acquisire diritti troppo ampi genera un’inefficienza specie quando si tratta di competizioni in cui winner takes all: maggiore e più esclusiva è la posta in palio, più la disputa diventa inutile[42].
Certamente brevetti più specifici e limitati conducono ad una proliferazione di privative, con la potenziale emersione del fenomeno del patent thicket[43](groviglio di brevetti). 
È bene sottolineare che itale fatto non deve essere inteso necessariamente in modo negativo.
Una maggiore frammentazione, ad esempio, può favorire una più ampia libertà di iniziativa sia economica che scientifica: infatti ogni brevetto avrebbe un valore economico inferiore, cosicché procurarsi la possibilità di utilizzare l’invenzione brevettata, pagando le royalties necessarie, sarebbe meno costoso, lasciando margine ai centri di ricerca piccoli-medi per ritagliarsi uno spazio nel settore; indirettamente ciò favorirebbe una maggiore competizione sul mercato, e impedirebbe la creazione di situazioni di monopolio e oligopolio, in ambiti fondamentali, come, ad esempio, quello della salute. Ne risulterebbe un sistema maggiormente aperto e plurale, altamente concorrenziale a vantaggio dei fruitori finali dei prodotti o dei trovati biotecnologici che quelle innovazioni inglobano. 
Emerge, quindi, la necessità di un non facile bilanciamento tra diversi diritti, che non si pongono tutti sullo stesso piano: da una parte vi è il diritto dello scienziato a tutelare e trarre profitto dalla propria invenzione (la cosiddetta funzione positiva del brevetto, ossia la sua funzione incentivante), dall’altra vi sono principi e valori come la dignità umana, il diritto alla salute, la libertà di accesso alle informazioni, la tutela del patrimonio genetico per le generazioni future ed altri che impongono una limitazione, ossia un ripensamento, dello strumento brevettuale in particolare, cioè dei meccanismi proprietari in settori sempre più fondamentali e strategici come quello biotecnologico in generale. 
Questo, in parte, è quello che avviene nel caso di CRISPR: la piattaforma AddGene, ma anche altri meccanismi che rendono possibile la condivisione delle informazioni, hanno permesso un notevole sviluppo di questa tecnologia nell’arco di pochissimo tempo, generando di fatto un’utilità per la collettività, a dimostrazione che un sistema ispirato a valori di apertura, flessibilità, condivisione, solidarietà conduce (forse) a maggiori vantaggi rispetto a sistemi chiusi, rigidi, che si basano sulla gelosa custodia dei propri brevetti.
Questo credo sia l’insegnamento che è possibile trarre dall’intera vicenda del brevetto di CRISPR/Cas9: nonostante l’aspra battaglia messa in campo dai due centri di ricerca, scontro che ha dato esisti diversi sulle due sponde dell’Atlantico, la ricerca su questa tecnica rivoluzionaria è in continua espansione non risentendo affatto delle pronunce giudiziarie circa il suo brevetto.